Folgen Die Erkennung von Kimsuky hängt davon ab, das Handwerk der Gruppe in Ihrer eigenen Telemetrie zu erkennen, nicht nur durch das Abgleichen eines Hashs. Kimsuky ist eine nordkoreanische APT-Gruppe, und eine ihrer veröffentlichten Kampagnen gibt sich als Diplomaten aus, um LNK-Dateien und PowerShell-Dropper zu übermitteln. Diese Techniken hinterlassen Spuren in gewöhnlichen Windows-Sicherheitsprotokollen: Skripthosts, die aus benutzerbeschreibbaren Ordnern gestartet werden, verstecktes PowerShell, neue Dienste und geplante Aufgaben sowie leise Kontoänderungen.
Dieser Artikel behandelt die Erkennung von Kimsuky mithilfe einer Probenanalyse in LogTotal, einem Log-Analysetool, das Ereignisse mit bekannten Bedrohungen abgleicht. Unten beschreiben wir, woher die Protokolle stammen, was LogTotal markiert hat, welche Erkenntnisse den direkten Ereignissen standhalten und wie die Reaktion aussehen sollte.
Kimsuky-Analyse
Das Handwerk in dieser Probe wird im Kontext des Hintergrunds der Gruppe und ihrer jüngsten Kampagnen klarer, daher beginnen wir dort, bevor wir uns den Protokollen zuwenden.
Wer ist Kimsuky
Kimsuky ist eine vom nordkoreanischen Staat gesponserte APT-Gruppe, die sich auf das Sammeln von Informationen konzentriert. MITRE ATT&CK verfolgt sie als G0094, und Anbieter nennen sie auch APT43, Velvet Chollima, Black Banshee, THALLIUM, Emerald Sleet, TA427 und Springtail. Ihre Aktivitäten sollen mit dem nordkoreanischen Aufklärungsbüro übereinstimmen.
CISA beurteilt, dass die Gruppe wahrscheinlich seit 2012 aktiv ist. Der erste detaillierte öffentliche Bericht war Kasperksys „Die Kimsuky-Operation“ im Jahr 2013, und der Name stammt von einer internen Code-Referenz, die Kaspersky-Forscher fanden.
Die meisten Operationen von Kimsuky zielen auf Südkorea ab, andere erreichten die Vereinigten Staaten, Japan, Europa und Russland. Neben Regierungs- und Zielrichtlinien umfasst die Opferliste auch Akademiker und den Kryptowährungssektor. Spear-Phishing ist der am häufigsten beobachtete Einstiegspunkt.
Kimsuky-Aktivität im Jahr 2026
| Zeitraum (2026) | Kampagne | Handwerk |
| Oktober | Erweiterung der Operation GitPower (Genians) | Gefälschte Zoom-Installateure und PDF-themenbezogene LNK-Dateien gegen ukrainische Diplomatie- und Sicherheitsexperten; verstecktes PowerShell; Persistenz durch geplante Aufgaben |
| Laufend | Operation GitPower | ZIP-Archive mit LNK-Dateien, die sich als Dokumente ausgeben, einschließlich Botschaftskorrespondenz; verschleiertes PowerShell; GitHub zur Inszenierung und C2 |
| März–April | HTTPSpy-Variante (ENKI) | Gefälschte Installationsseiten für Sicherheitssoftware und eine gefälschte Cisco Webex-Seite gegen südkoreanische Militär- und Unternehmensziele |
| 2025 bis Anfang 2026 | Kompromittierung von Groupware-Anbietern (ENKI WhiteHat) | Kompromittierte südkoreanische Kollaborationssoftware-Anbieter, dann deren Kunden |
Die hier analysierte Probe stammt vom 21. September 2026 und liegt innerhalb dieses Zeitraums. Ihre gepunktete, PDF-themenbezogene LNK, verstecktes PowerShell und bei Anmelden ausgelöste geplante Aufgabe passen genau zu diesen Kampagnen.
Die Probenanalyse
Die Probe ist eine einzelne Datei, Kimsuky.jsonl, mit 3.087 Ereignissen von einem Domaincontroller. Sie zeigt Kimsuky-ähnliches Handwerk gegen einen DC in einer kontrollierten Emulation, was sie zu einem nützlichen Bezugspunkt dafür macht, wie diese Aktivität in nativer Windows-Audit-Telemetrie aussieht.
Logquelle und Erfassung
| Attribut | Wert |
| Datei | Kimsuky.jsonl |
| Ereignisse | 3.087 |
| Host | srv-ad-001.7logs.xyz, ein Domaincontroller im 7logs-Domain |
| Zeitfenster | 21. September 2026, 15:02:41 bis 15:05:58 UTC (etwas mehr als drei Minuten) |
| Format | Natives EVTX-Format in JSON (Ereignis → System / EventData, XML-Attribute unter #attributes) |
Das JSON-Layout weist auf eine EVTX-zu-JSON-Konvertierung hin, nicht auf einen SIEM-normalisierten Export.
Was die Ereignisse enthalten
Die meisten Ereignisse sind Objekt- und Handle-Audits (4658, 4656, 4663, 4690), Token-Rechtsanpassungen (4703) und Dateifreigabezugriffe (5145). Diese sind volumenstark und meist Hintergrundrauschen.
Die für die Erkennung relevanten Ereignisse sind weitaus geringer:
- 49 Prozessstarts (4688) mit vollständigen Befehlszeilen
- Konto- und Gruppenverwaltung (4720–4738)
- Dienstinstallation (4697)
- Lebenszyklus geplanter Aufgaben: erstellt, aktualisiert, gelöscht (4698, 4702, 4699)
- Änderungen an Active Directory-Objekten (5136)
- Änderungen der Audit-Richtlinien (4719)
Angriffskontext: eine Emulation, kein Live-Einbruch
Die Aktivität ist eindeutig eine Emulation von Kimsuky-Handwerk. Jeder Angreiferbefehl hat powershell_ise.exe als übergeordneten Prozess. Objekte tragen Testnamen wie OrbitalTestSvc, adminuserz und das Passwort !BackdoorPass1. Am Ende entfernt der Betreiber Dienst, Aufgabe, Benutzer und Gruppe.
Die Techniken selbst spiegeln eine veröffentlichte Kimsuky-Kampagne wider, in der die Gruppe sich als Diplomaten ausgibt und LNK-Dateien und PowerShell-Dropper übermittelt. Deshalb ist die Telemetrie wertvoll: Die Verhaltensweisen sind echt, auch wenn der Betreiber es nicht ist.
Kimsuky erkennen
LogTotal hat alle 3.087 Zeilen in 16,4 Sekunden verarbeitet und 73 Regeln auf 105 Zeilen angewendet. Es gruppierte diese Übereinstimmungen in 9 Angriffsketten auf einem Host, meldete 8 und filterte 1 im KI-Verifizierungsprozess aus.
| Verdiktfeld | Ergebnis |
| Urteil | Verdächtig, bedarf einer weiteren Untersuchung |
| Schweregrad | Kritisch |
| Vertrauen | Mittel |
Wie sich LogTotal-Regeln auf direkten Kimsuky-Beweis beziehen
| Ausgelöste Regel | Direkter Beweis |
| Verdächtige Ausführung vom öffentlichen Benutzerprofil; Ausführung von Skriptinterpretern aus verdächtigen Ordnern | LNK, das sich als PDF mit einem punktgestrickten Namen ausgibt (vvn.31.Pdf……Lnk); wscript.exe läuft DefenderUpdate.Js aus C:UsersPublicDownloads |
| Die Möglichkeit der Ausführung durch versteckte PowerShell-Befehlszeilen | powershell.exe -ExecutionPolicy Bypass -WindowStyle Hidden -File …capture.Ps1 |
| Verdächtiges LOLBAS MSHTA-Verteidigungsumgehungsverhalten | mshta.exe läuft %TEMP%D.21_SEOUL.hta |
| Systemprozessausführungen von untypischen Pfaden | Gefälschtes smss.Exe unter PublicDownloadssystem32 |
| Verdächtige Manipulation von Standardkonten über Net.EXE; Reg Add verdächtige Pfade | net user administrator /active:yes; Administrator versteckt über WinlogonSpecialAccountsUserList |
| PowerShell-Skripte als Dienste installiert; explizite COMSPEC-Nutzung im Dienstdateipfad | Dienst OrbitalTestSvc startet verstecktes PowerShell |
| Verdächtige geplante Aufgabe (über Audit) | Anmeldetriggeraufgabe OrbitalHealthCheck führt svc_update.ps1 versteckt aus |
| Verdächtige ‚Admin‘-Lokalbenutzererstellung mit dem Net-Befehl; Benutzer über die Befehlszeile zur Gruppe hinzugefügt | adminuserz erstellt und zu neuer Gruppe admingroupz hinzugefügt |
| Ereignisprotokoll gelöscht (nativ); Sicherheitsereignisprotokoll gelöscht | Ereignis 1102 durch Administrator um 15:02:41 UTC |
Kimsuky IOCs und Artefakte aus dieser Probe
Die folgenden Artefakte stammen aus einer Emulation, daher werden die Namen selbst in der freien Wildbahn nicht wiederkehren. Die Muster dahinter sind, wonach man suchen sollte.
| Artefakt | Typ | Muster zur Jagd |
| vvn.31.Pdf……Lnk | LNK-Köder | Verknüpfungsdateien, die sich als Dokumente mit punktgestrickten Namen ausgeben |
| C:UsersPublicDownloadsDefenderUpdate.Js | JScript läuft durch wscript.exe | Skripthosts, die aus benutzerbeschreibbaren Ordnern gestartet werden |
| capture.Ps1 | PowerShell-Skript | -ExecutionPolicy Bypass -WindowStyle Hidden |
| %TEMP%D.21_SEOUL.hta | HTA beim Aufruf von mshta.exe | MSHTA, das Dateien aus %TEMP% ausführt |
| PublicDownloadssystem32smss.Exe | Vortäuschende Binärdatei | Systemprozessnamen außerhalb von System32 |
| OrbitalTestSvc | Dienst (4697) | Dienste, die verstecktes PowerShell über COMSPEC starten |
| OrbitalHealthCheck → svc_update.ps1 | Geplante Aufgabe (4698) | Anmeldungsgetriggerte Aufgaben, die versteckte Skripte ausführen |
| adminuserz, admingroupz, !BackdoorPass1 | Konto, Gruppe, Passwort | Neue admin-ähnliche lokale Konten und Gruppen, die über net.exe erstellt wurden |
| WinlogonSpecialAccountsUserList | Registrierungswert | Konten, die vom Anmeldebildschirm verborgen sind |
| Ereignis 1102 | Protokoll löschend | Sicherheitsprotokoll gelöscht vor Aktivität |
Kimsuky-Minderung
Isolieren Sie zunächst den Domaincontroller und stellen Sie dann das Vertrauen in seine Konten und Protokollierung wieder her. Der Reaktionsplan von LogTotal umfasst die Grundlagen; da das Ziel ein DC ist, muss der Umfang auf die Domain erweitert werden.
Von LogTotal empfohlene Reaktion
- Den Host isolieren.
- Speicher- und Datenträgerabbild erstellen.
- Überprüfen und Entfernen der geplanten OrbitalHealthCheck-Aufgabe.
- Überprüfen und Wiederherstellen der Audit-Richtlinie.
- Aktivieren Sie die Protokollierung von PowerShell Skriptblöcken und AMSI-Telemetrie.
- Wenden Sie Allowlisting für WScript, CScript und PowerShell an.
Zusätzliche Schritte für einen Domaincontroller
- Beginnen Sie die Zeitleiste beim Ereignis 1102. Das Sicherheitsprotokoll wurde um 15:02:41 UTC gelöscht, daher muss alles davor aus anderen Quellen stammen.
- Alles sammeln und mit Hash versehen in C:UsersPublicDownloads und %TEMP%, einschließlich der LNK, JScript, PowerShell, HTA und gefälschten smss.Exe.
- Reinigung bestätigen. Überprüfen Sie, ob OrbitalTestSvc, adminuserz und admingroupz entfernt wurden, und setzen Sie den Wert WinlogonSpecialAccountsUserList zurück, der den Administrator verbirgt.
- Anmeldeinformationen zurücksetzen. Setzen Sie das Administratorpasswort zurück und planen Sie einen doppelten krbtgt-Reset.
- Domain-weit jagen nach punktgestrickten LNK-Dateinamen und Skripthosts (wscript.exe, cscript.exe, mshta.exe, powershell.exe), die aus benutzerbeschreibbaren Ordnern gestartet werden.
Schutz gegen Kimsuky-ähnliches Handwerk
Die gleichen Kontrollen, die diese Probe erfassen, reduzieren die Exposition über die gesamte Domain. Halten Sie das Erstellen von Prozessen mit Befehlszeilen 4688 aktiviert, da die 49 Ereignisse die meiste Evidenz enthielten. Alarmieren Sie bei 4697 Dienstinstallationen und 4698 Aufgabenerschaffungen, die verstecktes PowerShell starten. Behandeln Sie jedes 1102-Ereignis auf einem DC als Vorfallstrigger.
FAQ
Was ist Kimsuky und wie funktioniert es?
Kimsuky ist eine vom nordkoreanischen Staat gesponserte Spionagegruppe, die von MITRE ATT&CK als G0094 verfolgt wird und auch bekannt ist als APT43, Velvet Chollima und Emerald Sleet. Sie dringt typischerweise durch maßgeschneidertes Spear-Phishing ein, verwendet dann LNK-Dateien, Skripte und PowerShell, um Hintertüren und Persistenz für eine langfristige Informationsbeschaffung zu installieren. Der Analyseabschnitt oben enthält das vollständige Profil.
Wann wurde Kimsuky erstmals entdeckt?
CISA beurteilt, dass Kimsuky wahrscheinlich seit 2012 aktiv ist. Der erste detaillierte öffentliche Bericht war Kasperskys „Die Kimsuky-Operation“ im Jahr 2013, und der Name der Gruppe stammt von einer internen Code-Referenz, die Kaspersky-Forscher fanden.
Was ist die Auswirkung einer Kimsuky-Infektion?
Kimsuky strebt nach langfristigem Zugriff für die Informationsbeschaffung, einschließlich Anmeldeinformationsdiebstahl, und einige seiner Operationen zielen auch auf den Kryptowährungssektor. Es hat kompromittierte Softwareanbietern genutzt, um ihre Kunden zu erreichen, wie in seiner Kampagne von 2025 bis Anfang 2026. Auf einem Domaincontroller, wie in diesem Beispiel, kann ein Angreifer Administratoraccounts erstellen und verbergen sowie über die gesamte Domain persistieren.
Kann Kimsuky mich noch 2026 betreffen?
Ja. Kimsuky führte 2026 mehrere Kampagnen durch, darunter Operation GitPower und eine HTTPSpy-Welle gegen südkoreanische Militärziele. Sie verwenden die gleichen LNK-Köder, verstecktes PowerShell und Persistenz bei geplanten Aufgaben, die in diesem Beispiel zu sehen sind. Der Analyseabschnitt listet die Kampagnen von 2026 auf.
Wie kann ich mich vor Kimsuky schützen?
Erstellen Sie eine Whitelist oder beschränken Sie WScript, CScript und PowerShell, aktivieren Sie die Protokollierung von Skriptblöcken und AMSI-Telemetrie und alarmieren Sie Skripthosts, die aus benutzerbeschreibbaren Ordnern laufen. Überwachen Sie neue Dienste und geplante Aufgaben, die verstecktes PowerShell starten, und behandeln Sie das Löschen von Protokollen auf einem DC als Vorfall.
Wie kann ich Kimsuky erkennen?
Sammeln Sie Windows-Sicherheitsereignisse mit Prozessbefehlszeilen (4688), Dienstinstallationen (4697), Ereignissen geplanter Aufgaben (4698, 4702, 4699), Konto- und Gruppenänderungen (4720–4738), AD-Änderungen (5136) und Protokollbereinigung (1102). Führen Sie den Export durch LogTotal, um ihn mit bekannten Kimsuky-Kampagnen abzugleichen, und bestätigen Sie dann jeden Fund an den direkten Ereignissen.
