Campagne collegate a Kimsuky mettono in evidenza tattiche in evoluzione per la distribuzione di ransomware

Sommario

Il gruppo Kimsuky ha evoluto le sue tattiche utilizzando documenti Hangul (HWP) dannosi, mascherati da curriculum, per distribuire il ransomware Funhouse. L’attacco multi-fase si basa su oggetti OLE incorporati che lanciano script per distribuire Quasar RAT, che a sua volta installa il payload del ransomware. La campagna rappresenta uno spostamento dalla consegna basata su LNK precedentemente osservata a un accesso iniziale basato su documenti.

Indagine

Il Centro di Intelligence sulla Sicurezza di AhnLab ha analizzato la catena di infezione e ha scoperto che il compromesso iniziale inizia con un file HWP dannoso. I ricercatori hanno osservato l’esecuzione sequenziale di script Batch, VBS e PowerShell, seguiti da una backdoor basata su Python e Quasar RAT. L’analisi dei file di configurazione di Quasar RAT ha anche rivelato modelli di mutex ricorrenti e caratteristiche di comunicazione C2 condivise tra più campagne.

Mitigazione

Gli utenti dovrebbero essere cauti quando aprono documenti non richiesti, in particolare curriculum, e verificare la legittimità dei link incorporati prima di interagirvi. Le organizzazioni dovrebbero applicare gli aggiornamenti di sicurezza più recenti ai software Hangul e ai sistemi operativi. Mantenere aggiornate soluzioni di sicurezza endpoint come V3 è altrettanto importante per rilevare queste tecniche di esecuzione multi-fase.

Risposta

Quando viene rilevata un’attività dannosa, isolare gli endpoint interessati per prevenire il movimento laterale e la fase di crittografia del ransomware Funhouse. Effettuare una revisione forense della directory %TEMP% alla ricerca di file sospetti .exe, .manifest e .bat. Monitorare per la presenza di file di configurazione Quasar RAT non autorizzati con l’estensione .dwg e modelli di mutex associati all’attività del gruppo.

Esecuzione di Simulazione

• Narrazione e Comandi dell’Attacco: Un avversario avvia una campagna di spear-phishing utilizzando un documento di elaborazione di testi Hangul chiamato curriculum.Hwp. All’apertura, oggetti OLE incorporati scatenano il download e l’esecuzione di un payload a stadi. Per simulare il trigger di rilevamento specifico, simuleremo l’esecuzione del QuasarRAT.exe binario in cui la linea di comando fa riferimento esplicito al file trigger curriculum.Hwp. Questo imita la tattica del gruppo Kimsuky di utilizzare trigger basati su documenti per lanciare il loro RAT.

• Script di Test di Regressione:

  # Script di Simulazione: Trigger di Distribuzione Kimsuky Funhouse
  # Questo script crea un binario fittizio e lo esegue con la linea di comando specifica richiesta per attivare la regola.
  
  $DummyExe = "$env:TEMPQuasarRAT.exe"
  $TriggerFile = "curriculum.Hwp"
  
  # 1. Crea un eseguibile fittizio per simulare il RAT
  New-Item -Path $DummyExe -ItemType File -Force
  # Usiamo un semplice 'echo' per farlo diventare un 'eseguibile' ai fini della telemetria di creazione del processo
  Set-Content -Path $DummyExe -Value "Questo è un binario fittizio per il testing del rilevamento."
  
  # 2. Esegui il binario fittizio con il modello di linea di comando specifico definito nella regola Sigma
  # La regola cerca 'QuasarRAT.exe' E 'curriculum.Hwp' nella linea di comando
  Start-Process -FilePath $DummyExe -ArgumentList "/run /target $TriggerFile" -WindowStyle Hidden
  
  Write-Host "Simulazione completa. Verifica nel SIEM il rilevamento di QuasarRAT.exe con linea di comando contenente $TriggerFile"

• Comandi di Pulizia:

  # Script di Pulizia
  Remove-Item -Path "$env:TEMPQuasarRAT.exe" -Force -ErrorAction SilentlyContinue
  Write-Host "Pulizia completa."