Au cours des 12 derniers mois, les chercheurs de Proofpoint ont observé plusieurs campagnes de phishing importantes du groupe qui sollicitait des experts en politique étrangère pour obtenir leur avis sur le désarmement nucléaire, les politiques américano-russes et les sanctions.

Si le groupe TA427 s’appuyait alors principalement sur des tactiques d’ingénierie sociale, depuis décembre 2023, il utilise de nouvelles tactiques, profitant des politiques laxistes des organisations en matière de protection des systèmes de messagerie et l’absence de protocole DMARC (Domain-based Message Authentication, Reporting and Conformance) pour usurper l’identité de divers collaborateurs. En février 2024, le groupe a également commencé à placer des balises web pour le profilage de ses cibles.

Derrière ces nouvelles tactiques, l’objectif du groupe est clair : enrichir le renseignement nord-coréen et fournir des informations cruciales à l’État pour renforcer les tactiques de négociation en matière de politique étrangère.

Selon les chercheurs de Proofpoint : « TA427 est aujourd’hui l’un des acteurs les plus actifs dans le domaine des menaces étatique. Depuis plusieurs années, le groupe se fait passer pour des universitaires, journalistes ou encore des chercheurs nord-coréens afin d’entrer en contact avec d’autres experts et ainsi infiltrer les organisations en vue de collecter des renseignements stratégiques à long terme. Un travail d’influence et de soutirage d’information difficilement quantifiable. Le groupe ne montre d’ailleurs aucun signe de ralentissement ou de perte d’agilité pour adapter ses tactiques et mettre en place de nouvelles infrastructures ou nouveaux personnages. »