Kimsuky è il nome comunemente usato nella ricerca pubblica sulle minacce per indicare un gruppo di threat actor legato alla Corea del Nord. I team di sicurezza lo monitorano come un avversario focalizzato sullo spionaggio, più che come una singola famiglia di malware. Le sue operazioni sono spesso associate a phishing, furto di credenziali, esche basate su documenti e all'abuso di piattaforme affidabili per il command-and-control, come servizi cloud, strumenti di collaborazione o repository pubblici.
Questo è importante perché il C2 su piattaforme affidabili può confondere il traffico malevolo con l'attività aziendale normale, rendendo meno efficaci le semplici blocklist. I difensori cercano il comportamento invece delle sole firme: flussi di accesso sospetti, catene insolite di processi figlio, esecuzione di script da file shortcut e preparazione del malware tramite servizi legittimi. L'attribuzione a Kimsuky si basa in genere su un insieme di indizi relativi a infrastruttura, strumenti, lingua e tecniche operative, quindi i ricercatori spesso descrivono l'attività come sospetta o valutata, invece che completamente provata. In pratica, Kimsuky è un'etichetta utile per indicare un modello di spionaggio riconoscibile che i team di sicurezza possono cercare, rilevare e interrompere.