Кампанії, пов’язані з Kimsuky, підкреслюють змінювані тактики розповсюдження програм-вимагачів

Резюме

Група Kimsuky вдосконалила свою тактику, використовуючи шкідливі Hangul (HWP) документи, замасковані під резюме, для розповсюдження програм-вимагачів Funhouse. Багатоетапна атака спирається на вбудовані об’єкти OLE, які запускають скрипти для розгортання Quasar RAT, а потім встановлюють навантаження програми-вимагача. Кампанія є переміщенням від спостережуваних раніше поставок на основі файлів LNK до початкового доступу на основі документів.

Розслідування

Центр аналітики безпеки AhnLab проаналізував ланцюг зараження і виявив, що початковий компроміс починається зі шкідливого HWP-файлу. Дослідники спостерігали послідовне виконання Batch, VBS та PowerShell-скриптів, за якими слідували бекдор на основі Python та Quasar RAT. Аналіз конфігураційних файлів Quasar RAT також виявив повторювані шаблони mutex і характеристики C2-зв’язку, спільні для кількох кампаній.

Захист

Користувачам слід бути обережними при відкритті небажаних документів, особливо резюме, і перевіряти легітимність вбудованих посилань перед їх використанням. Організації повинні застосовувати останні оновлення безпеки для програм Hangul і операційних систем. Також важливо підтримувати актуальні рішення для захисту кінцевих точок, такі як V3, для виявлення цих багатоетапних технік виконання.

Відповідь

Коли виявляється шкідлива активність, ізолюйте уражені кінцеві точки, щоб запобігти латеральному руху та фазі шифрування програмами-вимагачами Funhouse. Проведіть судово-медичний аналіз каталогу %TEMP% на предмет підозрілих файлів .exe, .manifest і .bat. Слідкуйте за неавторизованими конфігураційними файлами Quasar RAT з розширенням .dwg та шаблонами mutex, пов’язаними з діяльністю групи.

Виконання симуляції

• Сценарій атаки та команди: Супротивник ініціює фішингову кампанію з використанням документа процесора слів Hangul під назвою resume.Hwp. При відкритті вбудовані об’єкти OLE ініціюють завантаження та виконання етапного навантаження. Для симуляції конкретного тригера виявлення, ми симулюємо виконання QuasarRAT.exe бінарний файл, де командний рядок явно посилається на тригерний файл resume.Hwp. Це імітує тактику групи Kimsuky з використання тригерів на основі документів для запуску їх RAT.

• Регресійний тестовий скрипт:

  # Скрипт симуляції: Тригер розповсюдження Kimsuky Funhouse
  # Цей скрипт створює фіктивний бінарний файл і виконує його з конкретним командним рядком, необхідним для активації правила.
  
  $DummyExe = "$env:TEMPQuasarRAT.exe"
  $TriggerFile = "resume.Hwp"
  
  # 1. Створіть фіктивний виконуваний файл, щоб симулювати RAT
  New-Item -Path $DummyExe -ItemType File -Force
  # Використовується просте 'echo', щоб зробити його 'виконуваним' заради телеметрії створення процесу
  Set-Content -Path $DummyExe -Value "Це фіктивний бінарний файл для тестування виявлення."
  
  # 2. Виконайте фіктивний бінарний файл з конкретним шаблоном командного рядка визначеним у правилі Sigma
  # Правило шукає 'QuasarRAT.exe' І 'resume.Hwp' у командному рядку
  Start-Process -FilePath $DummyExe -ArgumentList "/run /target $TriggerFile" -WindowStyle Hidden
  
  Write-Host "Симуляцію завершено. Перевірте SIEM на виявлення QuasarRAT.exe з командним рядком, що містить $TriggerFile"

• Команди очистки:

  # Скрипт очистки
  Remove-Item -Path "$env:TEMPQuasarRAT.exe" -Force -ErrorAction SilentlyContinue
  Write-Host "Очищення завершено."