Campañas Vinculadas a Kimsuky Destacan Tácticas Evolutivas para Distribuir Ransomware

Resumen

El grupo Kimsuky ha evolucionado sus tácticas utilizando documentos Hangul (HWP) maliciosos disfrazados de currículums para distribuir el ransomware Funhouse. El ataque de múltiples etapas se basa en objetos OLE incrustados que lanzan scripts para desplegar Quasar RAT, que luego instala la carga útil del ransomware. La campaña representa un cambio del método de entrega basado en LNK previamente observado hacia un acceso inicial basado en documentos.

Investigación

El Centro de Inteligencia de Seguridad de AhnLab analizó la cadena de infección y descubrió que el compromiso inicial comienza con un archivo HWP malicioso. Los investigadores observaron la ejecución secuencial de scripts Batch, VBS y PowerShell, seguidos por un backdoor basado en Python y Quasar RAT. El análisis de archivos de configuración de Quasar RAT también reveló patrones recurrentes de mutex y características de comunicación C2 compartidas en varias campañas.

Mitigación

Los usuarios deben ser cautelosos al abrir documentos no solicitados, especialmente currículums, y verificar la legitimidad de los enlaces incrustados antes de interactuar con ellos. Las organizaciones deben aplicar las últimas actualizaciones de seguridad al software Hangul y a los sistemas operativos. Mantener actualizadas las soluciones de seguridad de endpoint como V3 también es importante para detectar estas técnicas de ejecución en múltiples etapas.

Respuesta

Cuando se detecta actividad maliciosa, aísle los endpoints afectados para prevenir el movimiento lateral y la fase de cifrado del ransomware Funhouse. Realice una revisión forense del directorio %TEMP% en busca de archivos .exe, .manifest y .bat sospechosos. Monitoree los archivos de configuración Quasar RAT no autorizados con la extensión .dwg y los patrones de mutex asociados a la actividad del grupo.

Ejecución de Simulación

• Narrativa y Comandos del Ataque: Un adversario inicia una campaña de spear-phishing utilizando un documento del procesador de texto Hangul llamado curriculum.Hwp. Al abrirse, los objetos OLE incrustados desencadenan la descarga y ejecución de una carga útil en fases. Para simular el disparador de detección específico, simularemos la ejecución del QuasarRAT.exe binario donde la línea de comando hace referencia explícita al archivo disparador curriculum.Hwp. Esto imita la táctica del grupo Kimsuky de usar disparadores basados en documentos para lanzar su RAT.

• Script de Prueba de Regresión:

  # Script de Simulación: Disparador de Distribución de Kimsuky Funhouse
  # Este script crea un binario dummy y lo ejecuta con la línea de comandos específica requerida para activar la regla.
  
  $DummyExe = "$env:TEMPQuasarRAT.exe"
  $TriggerFile = "resume.Hwp"
  
  # 1. Crear un ejecutable dummy para simular el RAT
  New-Item -Path $DummyExe -ItemType File -Force
  # Usamos un simple 'echo' para hacer que sea un 'ejecutable' en aras de la telemetría de creación de procesos
  Set-Content -Path $DummyExe -Value "Este es un binario dummy para pruebas de detección."
  
  # 2. Ejecute el binario dummy con el patrón de línea de comando específico definido en la regla Sigma
  # La regla busca 'QuasarRAT.exe' Y 'resume.Hwp' en la línea de comando
  Start-Process -FilePath $DummyExe -ArgumentList "/run /target $TriggerFile" -WindowStyle Hidden
  
  Write-Host "Simulación completa. Verifique SIEM para detección de QuasarRAT.exe con línea de comando que contiene $TriggerFile"

• Comandos de Limpieza:

  # Script de Limpieza
  Remove-Item -Path "$env:TEMPQuasarRAT.exe" -Force -ErrorAction SilentlyContinue
  Write-Host "Limpieza completa."