2026年9月韩国APT攻击趋势

概要

AhnLab 报告称，2026年9月，针对韩国组织的APT活动有所增加。攻击主要依赖带有恶意LNK文件、HTA文件和DLL的鱼叉式网络钓鱼，以投送信息窃取程序、键盘记录器和后门。威胁行为者还滥用PowerShell脚本、合法的Windows工具（如curl.exe和regsvr32.exe）以及包括PubNub和GitHub在内的指挥与控制通道。

调查

调查将观察到的入侵根据其执行技术分为A、B、C和D几种类型。分析师识别出重复出现的模式，如嵌入PowerShell的LNK文件、诱饵文档和涉及XenoRAT和多个信息窃取程序的恶意软件部署。技术分析还揭示了用于数据外泄的Base64编码以及为持久性建立的计划任务。

缓解

为减少暴露，用户应核实电子邮件发送者的身份，并避免打开来自未知或可疑来源的附件或链接。组织应保持操作系统和网络浏览器的最新安全补丁。强烈建议维护包括V3在内的最新终端安全软件。

响应

当检测到恶意活动时，响应者应隔离受影响的系统以防止额外数据泄露或横向移动。进行法医分析以识别初始入口点，包括网络钓鱼电子邮件或恶意LNK文件。审查计划任务和注册表项以检查未经授权的持久性，并调查可疑的出站连接到已知或潜在的恶意基础设施。

仿真执行

• 攻击叙述和命令： 对手通过网络钓鱼电子邮件发送了一个恶意 .lnk 文件。当用户点击快捷方式时，它执行一个启动 PowerShell 的命令行。为了逃避简单的基于签名的检测，攻击者为载荷使用了Base64编码。为了测试当前的安全规则是否能捕获这种特定模式，脚本将包含确切的字符串 “嵌入在LNK文件中的PowerShell脚本” and “Base64” 在脚本块中，以模拟SOC正在寻找的特定遥测信息。

• 回归测试脚本：

  # 仿真脚本旨在触发特定检测逻辑
  # 该脚本包含Sigma规则所需的确切字符串
  
  $encodedPayload = "Write-Host 'Malware Payload Executed'"
  $bytes = [System.Convert]::FromBase64String([System.Convert]::ToBase64String([System.Text.Encoding]::UTF8.GetBytes($encodedPayload)))
  $decodedCommand = [System.Text.Encoding]::UTF8.GetString($bytes)
  
  # 这些注释对于触发当前脆弱的检测逻辑至关重要
  # 嵌入在LNK文件中的PowerShell脚本
  # 使用Base64进行载荷传递
  
  Invoke-Expression $decodedCommand

• 清除命令：

  # 仿真脚本没有做出永久性更改。
  # 如果创建了LNK文件，请删除它：
  # Remove-Item "$HOMEDesktopMaliciousShortcut.lnk" -ErrorAction SilentlyContinue