Kampagnen im Zusammenhang mit Kimsuky heben die sich entwickelnden Taktiken zur Ransomware-Verteilung hervor

Zusammenfassung

Die Kimsuky-Gruppe hat ihre Taktiken weiterentwickelt, indem sie bösartige Hangul-Dokumente (HWP) als getarnte Lebensläufe verwendet, um Funhouse-Ransomware zu verbreiten. Der mehrstufige Angriff nutzt eingebettete OLE-Objekte, die Skripte ausführen, um Quasar RAT bereitzustellen, das dann die Ransomware-Nutzlast installiert. Die Kampagne stellt einen Wechsel von zuvor beobachteten LNK-basierten Auslieferungen zu dokumentenbasiertem Erstzugriff dar.

Untersuchung

Das AhnLab Security Intelligence Center analysierte die Infektionskette und fand heraus, dass der anfängliche Kompromiss mit einer bösartigen HWP-Datei beginnt. Forscher beobachteten die sequentielle Ausführung von Batch-, VBS- und PowerShell-Skripten, gefolgt von einem Python-basierten Hintertürprogramm und Quasar RAT. Die Analyse der Konfigurationsdateien von Quasar RAT zeigte auch wiederkehrende Mutex-Muster und C2-Kommunikationsmerkmale, die in mehreren Kampagnen geteilt werden.

Abschwächung

Benutzer sollten vorsichtig sein, wenn sie unaufgeforderte Dokumente öffnen, insbesondere Lebensläufe, und die Legitimität eingebetteter Links überprüfen, bevor sie damit interagieren. Organisationen sollten die neuesten Sicherheitsupdates für Hangul-Software und Betriebssysteme anwenden. Auch das Aktualisieren von Endpunktsicherheitssystemen wie V3 ist wichtig, um diese mehrstufigen Ausführungstechniken zu erkennen.

Reaktion

Wenn bösartige Aktivitäten erkannt werden, isolieren Sie die betroffenen Endpunkte, um seitliche Bewegungen und die Verschlüsselungsphase der Funhouse-Ransomware zu verhindern. Führen Sie eine forensische Überprüfung des Verzeichnisses %TEMP% auf verdächtige .exe-, .manifest- und .bat-Dateien durch. Überwachen Sie auf unautorisierte Quasar RAT-Konfigurationsdateien mit der Erweiterung .dwg und Mutex-Muster, die mit der Aktivität der Gruppe in Verbindung stehen.

Simulationsausführung

• Angriffserzählung & Befehle: Ein Angreifer initiiert eine Spear-Phishing-Kampagne mit einem Hangul-Textverarbeitungsdokument namens resume.Hwp. Beim Öffnen lösen eingebettete OLE-Objekte den Download und die Ausführung einer gestuften Nutzlast aus. Um den spezifischen Erkennungsauslöser zu simulieren, werden wir die Ausführung der QuasarRAT.exe -Binärdatei simulieren, bei der die Befehlszeile explizit auf die Auslöserdatei verweist resume.Hwp. Dies ahmt die Taktik der Kimsuky-Gruppe nach, dokumentenbasierte Auslöser zu verwenden, um ihr RAT auszulösen.

• Regressionstest-Skript:

  # Simulationsskript: Kimsuky Funhouse-Verteilungs-Auslöser
  # Dieses Skript erstellt eine Dummy-Binärdatei und führt sie mit der spezifischen Befehlszeile aus, die erforderlich ist, um die Regel auszulösen.
  
  $DummyExe = "$env:TEMPQuasarRAT.exe"
  $TriggerFile = "resume.Hwp"
  
  # 1. Erstellen Sie eine Dummy-Binärdatei, um das RAT zu simulieren
  New-Item -Path $DummyExe -ItemType File -Force
  # Wir verwenden ein einfaches 'echo', um es zu einem 'ausführbaren' für die Prozess-Erstellungstelemetrie zu machen
  Set-Content -Path $DummyExe -Value "Dies ist eine Dummy-Binärdatei für Erkennungstests."
  
  # 2. Führen Sie die Dummy-Binärdatei mit dem spezifischen Befehlszeilenmuster aus, das in der Sigma-Regel definiert ist
  # Die Regel sucht nach 'QuasarRAT.exe' UND 'resume.Hwp' in der Befehlszeile
  Start-Process -FilePath $DummyExe -ArgumentList "/run /target $TriggerFile" -WindowStyle Hidden
  
  Write-Host "Simulation abgeschlossen. Überprüfen Sie SIEM auf Erkennung von QuasarRAT.exe mit Befehlszeile, die $TriggerFile enthält"

• Bereinigungskommandos:

  # Bereinigungsskript
  Remove-Item -Path "$env:TEMPQuasarRAT.exe" -Force -ErrorAction SilentlyContinue
  Write-Host "Bereinigung abgeschlossen."