حددت جوجل مجموعة قرصنة تابعة للحكومة الكورية الشمالية تستهدف أعضاء مجتمع الأمن السيبراني المنخرطين في أبحاث الثغرات الأمنية، حيث استخدمت مجموعة القرصنة منصات متعددة للتواصل مع الأهداف المحتملة، بما في ذلك Twitter و LinkedIn و Telegram و Discord و Keybase والبريد الإلكتروني.
وبحسب موقع TOI الهندى، فمن أجل بناء المصداقية والتواصل مع الباحثين في مجال الأمن، أنشأ القراصنة مدونة بحثية وملفات تعريف متعددة على Twitter للتفاعل مع الأهداف المحتملة، فيما قال فريق Google Threat Analysis Group: "لقد استخدموا ملفات تعريف Twitter هذه لنشر روابط إلى مدونتهم، ونشر مقاطع فيديو عن مآثرهم المزعومة ولتضخيم وإعادة تغريد المنشورات من الحسابات الأخرى التي يسيطرون عليها".
وقالت جوجل "الفاعلون وراء هذه الحملة، التي ننسبها إلى كيان مدعوم من الحكومة مقره في كوريا الشمالية، استخدموا عددًا من الوسائل لاستهداف الباحثين"، وتحتوي مدونتهم على عمليات كتابة وتحليلات لنقاط الضعف التي تم الكشف عنها علنًا، بما في ذلك منشورات "ضيف" من باحثين أمنيين شرعيين غير مقصودين، على الأرجح في محاولة لبناء مصداقية إضافية مع باحثين أمنيين آخرين".
وفي يناير 14 ، شارك الممثلون عبر تويتر مقطع فيديو على يوتيوب قاموا بتحميله والذي أعلن أنه يستغل ثغرة CVE-2021-1647 ، وهو ثغرة أمنية تم تصحيحها مؤخرًا في Windows Defender، وقالت جوجل في تدوينة حديثة "حددت تعليقات متعددة على موقع يوتيوب أن الفيديو مزيف وأنه لم تظهر أي ثغرة في العمل".
وبعد إبداء هذه التعليقات، استخدم الممثلون حسابًا ثانيًا على تويتر (يتحكمون فيه) لإعادة تغريد المنشور الأصلي والادعاء بأنه "ليس مقطع فيديو مزيفًا"، وقد لوحظ أن الجهات الفاعلة تستهدف باحثين أمنيين محددين بطريقة الهندسة الاجتماعية الجديدة.
وأوضح فريق جوجل :"بعد إنشاء الاتصالات الأولية، سيسأل الممثلون الباحث المستهدف عما إذا كانوا يريدون التعاون معًا في بحث الثغرات الأمنية، ثم يزودون الباحث بـ "مشروع Visual Studio"، و"إذا كنت قلقًا من استهدافك، نوصيك بتقسيم أنشطة البحث الخاصة بك باستخدام أجهزة فعلية أو افتراضية منفصلة لتصفح الويب العام ، والتفاعل مع الآخرين في مجتمع البحث، وقبول الملفات من جهات خارجية وأبحاث الأمان الخاصة بك ".