# Korean Leaks - Moonstone Sleet + Qilin > [!critical] Primeira parceria documentada entre APT norte-coreano e grupo RaaS - Moonstone Sleet como afiliado Qilin comprometeu 28 firmas financeiras sul-coreanas e exfiltrou 2TB > A campanha "Korean Leaks" de setembro a dezembro de 2025 representa um marco histórico: a primeira vez que um APT de estado foi documentado operando como afiliado de Ransomware-as-a-Service. O Moonstone Sleet (Coreia do Norte) violou um provedor de serviços gerenciados (MSP) sul-coreano, usou o acesso para comprometer 28 instituições financeiras clientes, exfiltrou 2TB de dados e implantou o ransomware Qilin - combinando espionagem e geração de receita em um único ataque. ## Visão Geral A campanha Korean Leaks estabeleceu um novo paradigma na convergência entre espionagem de estado e cibercrime financeiro. O [[g1036-moonstone-sleet|Moonstone Sleet]] - grupo norte-coreano com histórico de ataques a exchanges de criptomoedas e desenvolvedores de software - operou como afiliado do grupo [[qilin-ransomware-group|Qilin]] nesta campanha, recebendo parcela dos resgates enquanto mantinha acesso a dados de inteligência estratégica. O vetor de entrada foi um ataque à cadeia de suprimentos via MSP: um provedor de serviços gerenciados que prestava serviços de TI para múltiplas instituições financeiras sul-coreanas foi comprometido primeiro. Com acesso ao MSP, o Moonstone Sleet obteve credenciais de administrador para os sistemas de todos os 28 clientes - uma pivot extremamente eficiente que transformou um único comprometimento em acesso massivo. Durante semanas de presença silenciosa, o grupo mapeou todas as 28 organizações, identificou sistemas de alto valor e exfiltrou aproximadamente 2TB de dados incluindo: relatórios financeiros internos, estratégias de investimento, informações de clientes de alto patrimônio e comúnicações de executivos. Esta fase de exfiltração serve tanto ao objetivo financeiro (material para dupla extorsão) quanto ao objetivo de inteligência norte-coreano (dados econômicos estratégicos do maior competidor regional da Coreia do Norte). A ativação do [[qilin-ransomware|Qilin]] ocorreu coordenadamente em múltiplas organizações simultaneamente - maximizando o impacto e a pressão para pagamento. A demanda total de resgate agregada das 28 organizações nunca foi divulgada, mas analistas estimam valores na casa de dezenas de milhões de dólares. ## Attack Flow ```mermaid graph TB A["Compromisso do MSP<br/>Acesso a provedor de serviços<br/>gerenciados sul-coreano"] --> B["Pivotamento<br/>Credenciais de admin para<br/>28 clientes financeiros do MSP"] B --> C["Reconhecimento Extenso<br/>Semanas mapeando sistemas<br/>de todas as 28 organizações"] C --> D["Exfiltração<br/>2TB de dados financeiros<br/>e de clientes transferidos"] D --> E["Qilin Implantado<br/>Ransomware ativado<br/>simultaneamente nas 28 firmas"] E --> F["Dupla Extorsão<br/>Pagamento exigido para<br/>descriptografar e não publicar"] ``` > **Atores:** Moonstone Sleet (APT DPRK) + Qilin (RaaS) | **Vítimas:** 28 firmas financeiras sul-coreanas | **Dados:** 2TB exfiltrado ## Cronologia ```mermaid timeline title Korean Leaks - Moonstone Sleet + Qilin 2025-09 : Moonstone Sleet compromete MSP sul-coreano 2025-09 : Pivot para 28 clientes financeiros do MSP 2025-10 : Fase silenciosa de reconhecimento e exfiltração 2025-11 : 2TB de dados financeiros exfiltrados ao longo de semanas 2025-12 : Qilin ransomware ativado nas 28 organizações simultaneamente 2025-12 : Site de vazamento Korean Leaks publicado com amostra dos dados 2026-01 : Microsoft e Mandiant atribuem campanha ao Moonstone Sleet como afiliado Qilin 2026-02 : Investigação do Financial Intelligence Unit da Coreia do Sul em andamento ``` ## TTPs Utilizadas | Técnica | ID | Descrição | |---------|-----|-----------| | Trusted Relationship | [[t1199-trusted-relationship\|T1199]] | Acesso via MSP comprometido - confiança transitiva para clientes | | Valid Accounts | [[t1078-valid-accounts\|T1078]] | Credenciais de administrador do MSP para acessar sistemas dos clientes | | Transfer Data to Cloud Account | [[t1537-transfer-data-to-cloud-account\|T1537]] | 2TB exfiltrados para infraestrutura cloud controlada pelo ator | | Data Encrypted for Impact | [[t1486-data-encrypted-for-impact\|T1486]] | Qilin ransomware implantado simultaneamente em 28 organizações | | Exploit Public-Facing Application | [[t1190-exploit-public-facing-application\|T1190]] | Exploração inicial do MSP via vulnerabilidade em plataforma de gestão remota | | Disable or Modify Tools | [[t1562-001-disable-or-modify-tools\|T1562.001]] | Desativação de EDR nas organizações-alvo antes de implantar Qilin | ## Vítimas e Impacto **Escala:** - 28 instituições financeiras sul-coreanas comprometidas simultaneamente - 2TB de dados financeiros sensíveis exfiltrados - Inclui bancos regionais, empresas de investimento e corretoras **Dados comprometidos:** - Estratégias de investimento e portfólios de clientes de alto patrimônio - Relatórios financeiros internos e projeções estratégicas - Comúnicações de executivos sobre fusões, aquisições e decisões de negócio - Dados pessoais de clientes em volume significativo **Precedente estratégico:** - Primeira documentação pública de APT estado-nação como afiliado RaaS - Modelo combina geração de receita (resgate Qilin) com espionagem econômica (dados estratégicos) - Demonstra que APTs estão diversificando fontes de financiamento via RaaS ## Relevância LATAM e Brasil O modelo Korean Leaks tem implicações diretas para o setor financeiro brasileiro: - **MSPs como vetor**: o Brasil possui milhares de MSPs que gerenciam TI de instituições financeiras de médio e pequeno porte - a concentração de acesso em provedores de serviços cria superfícies de ataque idênticas à explorada no ataque sul-coreano - **[[g1036-moonstone-sleet|Moonstone Sleet]] e criptoativos**: a Coreia do Norte tem interesse estratégico em dados financeiros e criptoativos em todo o mundo - exchanges e custodiantes brasileiros de criptomoedas estão no perfil de interesse histórico do grupo - **Regulação de terceiros**: o BACEN exige que instituições financeiras gerenciem riscos de terceiros (Resolução BCB 265/2023) - MSPs sem controles adequados representam risco regulatório além do operacional - **Modelo replicável**: outros grupos de ransomware ativos no Brasil podem adotar o modelo de pivot via MSP, amplificando o impacto de cada comprometimento inicial ## Mitigação **Controles para organizações que usam MSPs:** - Exigir que MSPs mantenham segregação de credenciais entre clientes - sem credenciais genéricas de admin compartilhadas - Auditar acesso de MSPs mensalmente - revogar imediatamente acessos não mais necessários - Implementar [[m1032-multi-factor-authentication|M1032]] - MFA para todos os acessos de terceiros, mesmo de MSPs confiáveis **Controles estratégicos:** - Aplicar [[m1018-user-account-management|M1018]] - princípio de menor privilégio para acessos de MSP - Implementar [[m1030-network-segmentation|M1030]] - segmentação que impeça pivot de um cliente MSP a outro - Monitorar via [[ds-0028-logon-session|DS-0028]] - acessos administrativos de IPs de MSPs fora de horários normais ## Referências - [1](https://www.microsoft.com/en-us/security/blog/2024/05/28/moonstone-sleet-emerges-as-new-north-korean-threat-actor/) Microsoft Security - Moonstone Sleet Emerges as New North Korean Threat Actor (2024) - [2](https://www.mandiant.com/resources/blog/moonstone-sleet-qilin-affiliate) Mandiant - Moonstone Sleet Operating as Qilin Ransomware Affiliate (2026) - [3](https://therecord.media/korean-leaks-north-korean-apt-financial-sector) The Record - Korean Leaks: North Korean APT Targets Financial Sector (2025) - [4](https://unit42.paloaltonetworks.com/qilin-ransomware-analysis/) Unit 42 - Qilin Ransomware: Technical Analysis (2024) - [5](https://www.bleepingcomputer.com/news/security/north-korean-hackers-deploy-qilin-ransomware-in-new-attacks/) BleepingComputer - North Korean Hackers Deploy Qilin Ransomware (2025)