Nordkorea stellt seit 2024 Soldaten für den Krieg in der Ukraine sowie weitere militärische Unterstützung für Russland bereit. Nach Einschätzung der Genians-Forscher könnten Kimsukys Angriffe gegen die Ukraine darauf abzielen, Informationen über den Krieg, das Ausmaß der nordkoreanischen Truppenverluste, Entwicklungen bei der Befragung und Behandlung von Kriegsgefangenen sowie Einzelheiten der Konsultationen zwischen Südkorea und der Ukraine zu sammeln. Die meisten der beobachteten Angriffe seien erfolglos geblieben.

Auch die Überstellung zweier von ukrainischen Kräften gefangener nordkoreanischer Soldaten nach Südkorea im September könnte laut Genians für Pjöngjang von nachrichtendienstlichem Interesse sein – insbesondere im Hinblick darauf, was die Gefangenen über nordkoreanische Militäroperationen und Verluste preisgeben könnten.

Bei einem Angriff im August gaben sich die Angreifer als Organisatoren einer Cybersicherheitskonferenz in Seoul aus und luden einen ukrainischen Sicherheitsexperten als Redner ein. Die E-Mail enthielt echte Angaben zur Konferenz und bot die Übernahme von Reise- und Unterbringungskosten an; schädliche Links oder Anhänge fehlten zunächst. Stattdessen drängten die Angreifer den Empfänger zu einer Antwort, bevor sie weitere Materialien nachreichten.

In einem anderen Fall traten die Angreifer als europäischer Politikforscher auf, der Rückmeldungen zu einem Bericht über die militärische Zusammenarbeit zwischen Russland und Nordkorea erbat. Nachdem der Empfänger geantwortet hatte, sandten sie laut Genians einen Link zu einem schädlichen Archiv, das als Forschungsmaterial getarnt war.

Zum Einsatz kamen zudem Dateien, die als PDF-Dokumente oder als legitime Zoom-Installationsprogramme getarnt waren, um Empfänger zur Ausführung von Schadsoftware zu bewegen. Die Schadsoftware war darauf ausgelegt, Informationen von infizierten Rechnern zu sammeln, den Zugang zu kompromittierten Systemen aufrechtzuerhalten und gestohlene Daten an eine von den Angreifern kontrollierte Infrastruktur zu übermitteln.

Auf Infrastruktur, die mit der Kampagne in Verbindung steht, fanden die Forscher außerdem japanischsprachige Dokumente. Das deutet darauf hin, dass die Angreifer möglicherweise Attacken gegen japanischsprachige Ziele vorbereiteten.

Die Angriffe sind Teil einer umfassenderen Cyberspionagekampagne, die unter dem Namen Operation GitPower geführt wird. Dabei nutzen die Angreifer legitime Plattformen für die Softwareentwicklung – darunter GitHub, GitLab und Codeberg –, um schädliche Dateien zu verteilen und mit kompromittierten Systemen zu kommunizieren.

Kimsuky ist mindestens seit 2012 aktiv und greift Regierungen, Denkfabriken, Wissenschaftler und Medienorganisationen in Asien, Europa, Japan, Russland und den USA an. 2023 verhängten die USA und ihre pazifischen Verbündeten Sanktionen gegen die Gruppe und warfen ihr vor, Erkenntnisse zur Unterstützung der nordkoreanischen Außenpolitik und der Sanktionsumgehung zu sammeln.

Im Mai 2025 berichtete das Sicherheitsunternehmen Proofpoint, dass eine mit Nordkorea verbundene Gruppe, die als TA406 geführt wird, schädliche E-Mails an ukrainische Regierungsbehörden verschickt habe – möglicherweise auf der Suche nach Erkenntnissen über die Risiken für nordkoreanische Soldaten an der Seite russischer Truppen. Laut Proofpoint konzentrieren sich die Operationen von TA406 in der Ukraine auf politische Aufklärung und strategische Analyse des Krieges, anders als russische Hacker, die üblicherweise taktische Informationen zum Gefechtsgeschehen suchen.