NSA و FBI هشدار دادند که گروه هکری مرتبط با کره شمالی APT43 از سیاست‌های ضعیف پیاده سازی DMARC در ایمیل ها برای پنهان کردن حملات فیشینگ و فیشینگ های هدفمند استفاده می کنند.
این دو آژانس همراه با وزارت امور خارجه ایالات متحده هشدار دادند که مهاجمان از سیاست‌های DMARC برای ارسال ایمیل‌های جعلی سوءاستفاده می‌کنند که به نظر می‌رسد از منابع معتبری مانند روزنامه‌نگاران، دانشگاهیان و سایر کارشناسان در امور شرق آسیا آمده است. NSA گفت: «کره شمالی از کمپین‌های spearphishing برای جمع‌آوری اطلاعات در مورد رویدادهای ژئوپلیتیک، استراتژی‌های سیاست خارجی دشمن و هر گونه اطلاعاتی که بر منافع کره شمالی تأثیر می‌گذارد، با دسترسی غیرقانونی به اسناد، تحقیقات و ارتباطات خصوصی اهداف، استفاده می‌کند.
اداره کل شناسایی (RGB)، اصلی ترین سازمان اطلاعات نظامی کره شمالی، تحت تحریم ایالات متحده، پشت طیف گسترده ای از جمع آوری اطلاعات و فعالیت های جاسوسی است که توسط گروه هکری دولتی APT43 زیر مجموعه هماهنگ شده است. این گروه هکری همچنین با نام های Kimsuky، Emerald Sleet، Velvet Chollima، شناخته می شود.که حداقل از سال ۲۰۱۲ مشغول به فعالیت می باشند. هدف از این کار بدست آوردن اطلاعات جدید در مورد ایالات متحده، کره جنوبی و سایر کشورهای مورد علاقه برای حمایت از اهداف اطلاعات ملی کره شمالی و جلوگیری از هرگونه تهدید سیاسی، نظامی یا اقتصادی برای امنیت و ثبات این رژیم است.
همانطور که NSA و FBI برای اولین بار در سال گذشته فاش کردند، عوامل APT43 از سال ۲۰۱۸ جعل هویت روزنامه نگاران و دانشگاهیان برای کمپین های SpearPhishing، هدف قرار دادن اتاق های فکر، مراکز تحقیقاتی، مؤسسات دانشگاهی و سازمان های رسانه ای در ایالات متحده، اروپا، ژاپن و کره جنوبی بوده اند.
اقدامات موثر برای کاهش حمله
در این حملات، آنها از سیاست های DMARC یا خط‌مشی‌های DMARC با پیکربندی‌های “p=none” سوء استفاده می‌کنند، که به سرور ایمیل دریافت‌کننده می‌گوید که هیچ اقدامی در مورد پیام‌هایی که بررسی DMARC انجام نمی‌دهند انجام دهد.
این روش به ایمیل‌های فیشینگ جعلی APT43 با استفاده از مهندسی اجتماعی و محتوایی که قبلاً در معرض خطر قرار گرفته‌اند اجازه می‌دهد به صندوق‌های پستی اهداف دسترسی پیدا کنند.
برای کاهش این تهدید، FBI، وزارت امور خارجه ایالات متحده و NSA به مدافعان توصیه می کنند که خط مشی امنیتی DMARC سازمان خود را برای استفاده از “v=DMARC1; p=Quarantine;” به روز کنند. یا “v=DMARC1; p=reject;” پیکربندی کنند.
اولی به سرورهای ایمیل دستور می دهد ایمیل هایی را که DMARC ناموفق هستند قرنطینه کرده و آنها را به عنوان هرزنامه احتمالی برچسب گذاری کنند، در حالی که دومی به آنها می گوید که تمام ایمیل هایی را که DMARC بررسی نمی کنند مسدود کنند.
