TA406, qui est largement associé à Kimsuky, un acteur de menace très suivi par l’équipe de Threat Intelligence - est connu pour s’adonner à l’espionnage, à la cybercriminalité et à la sextorsion. Il utilise à la fois des logiciels malveillants et la récolte d’identifiants dans des campagnes de collecte d’informations.

Le nouveau rapport de Proofpoint détaille plusieurs exemples, y compris ceux utilisés par TA406 qui n’ont jamais été abordés auparavant dans les rapports de sources ouvertes. Et enfin, Proofpoint fournit des preuves que TA406 mène des campagnes à motivation financière, impliquant la crypto-monnaie et la sextorsion.

L’une des campagnes détaillées dans le rapport s’est produite autour de mars 2021, au moment des essais de missiles nord-coréens. Elle a visé plusieurs organisations et individus qui n’avaient pas été considérés auparavant comme cibles de TA406, notamment certains des élus les plus haut placés de plusieurs institutions gouvernementales différentes, un employé d’une société de conseil, des institutions gouvernementales liées à la défense, aux forces de l’ordre et plus encore.

Selon Sherrod DeGrippo, Directrice menaces émergentes chez Proofpoint : « Ce qui est notable chez cet acteur de la menace aligné sur la Corée du Nord, c’est son penchant pour la réutilisation des mêmes tactiques et le ciblage des mêmes personnes, encore et encore. Ils ont également utilisé tous les moyens possibles, de la sextorsion aux services légitimes, avec pour unique motivation, l’appât du gain financier. Ce niveau extrême de persistance et de flexibilité est la marque de fabrique de TA406, et c’est pourquoi tout le monde, des experts en politique étrangère aux universitaires en passant par les journalistes, doit rester vigilant. »