Seguir La detección de Kimsuky depende de reconocer las técnicas del grupo en su propia telemetría, no solo en hacer coincidir un hash. Kimsuky es un grupo APT de Corea del Norte, y una de sus campañas publicadas se hace pasar por diplomáticos para entregar archivos LNK y contenedores de PowerShell. Esas técnicas dejan rastros en los registros ordinarios de Seguridad de Windows: hosts de scripts lanzados desde carpetas accesibles por el usuario, PowerShell oculto, nuevos servicios y tareas programadas, y cambios silenciosos en cuentas.
Este artículo cubre la detección de Kimsuky utilizando una muestra de registro analizada en LogTotal, una herramienta de análisis de registros que coincide con eventos de amenazas conocidas. A continuación, describimos de dónde provienen los registros, qué señaló LogTotal, cuáles hallazgos se sostienen frente a los eventos en bruto y cuál debería ser la respuesta.
Análisis de Kimsuky
Las técnicas en esta muestra se leen más claramente en el contexto del grupo y sus campañas recientes, por lo que comenzamos allí antes de pasar a los registros.
¿Quién es Kimsuky?
Kimsuky es un grupo APT patrocinado por el estado de Corea del Norte enfocado en la recolección de inteligencia. MITRE ATT&CK lo rastrea como G0094, y los proveedores también lo llaman APT43, Velvet Chollima, Black Banshee, THALLIUM, Emerald Sleet, TA427 y Springtail. Se cree que su actividad está alineada con la Oficina General de Reconocimiento de Corea del Norte.
CISA evalúa que el grupo probablemente ha estado operando desde 2012. El primer informe público detallado fue «La Operación Kimsuky» de Kaspersky en 2013, y el nombre proviene de una referencia de código interno que los investigadores de Kaspersky encontraron.
La mayoría de las operaciones de Kimsuky afectan a Corea del Sur, con otras alcanzando a los Estados Unidos, Japón, Europa y Rusia. Más allá de los objetivos gubernamentales y políticos, las víctimas incluyen académicos y el sector de las criptomonedas. El spear-phishing es su punto de entrada más observado.
Actividad de Kimsuky en 2026
| Periodo (2026) | Campaña | Técnicas |
| Octubre | Expansión de la Operación GitPower (Genians) | Instaladores falsos de Zoom y archivos LNK con temas de PDF contra la diplomacia y expertos en seguridad ucranianos; PowerShell oculto; persistencia de tareas programadas |
| En curso | Operación GitPower | Archivos ZIP con archivos LNK que se hacen pasar por documentos, incluyendo correspondencia de embajadas; PowerShell ofuscado; GitHub para preparación y C2 |
| Marzo–Abril | Variante HTTPSpy (ENKI) | Páginas simuladas de instalación de software de seguridad y una página falsa de Cisco Webex contra objetivos militares y corporativos surcoreanos |
| 2025 a principios de 2026 | Compromiso del proveedor de groupware (ENKI WhiteHat) | Vendedores de software de colaboración surcoreanos comprometidos, luego sus clientes |
La muestra analizada aquí data del 21 de septiembre de 2026, dentro de este período. Su LNK con tema de PDF y relleno de puntos, PowerShell oculto, y tarea programada activada por inicio de sesión coinciden estrechamente con estas campañas.
La muestra de registro
La muestra es un solo archivo, Kimsuky.jsonl, con 3,087 eventos de un controlador de dominio. Muestra Tecnologías Kimsuky ejecutadas contra un DC en una emulación controlada, lo que la convierte en una referencia útil de cómo se ve esta actividad en la telemetría de auditoría nativa de Windows.
Fuente y recolección de registros
| Atributo | Valor |
| Archivo | Kimsuky.jsonl |
| Eventos | 3,087 |
| Host | srv-ad-001.7logs.xyz, un controlador de dominio en el dominio 7logs |
| Ventana de tiempo | 21 de septiembre de 2026, 15:02:41 a 15:05:58 UTC (poco más de tres minutos) |
| Formato | Estructura EVTX nativa en JSON (Evento → Sistema / DatosEvento, atributos XML bajo #attributes) |
El diseño del JSON apunta a una conversión de EVTX a JSON en lugar de una exportación normalizada por SIEM.
Qué contienen los eventos
La mayoría de los eventos son auditoría de objetos y manipulaciones (4658, 4656, 4663, 4690), ajustes de derechos de tokens (4703) y acceso compartido de archivos (5145). Estos son de alto volumen y mayormente ruido de fondo.
Los eventos relevantes para la detección son mucho menos:
- 49 creaciones de procesos (4688) con líneas de comando completas
- Gestión de cuentas y grupos (4720–4738)
- Instalación de servicios (4697)
- Ciclo de vida de tareas programadas: creadas, actualizadas, eliminadas (4698, 4702, 4699)
- Cambios en objetos de Active Directory (5136)
- Cambios en la política de auditoría (4719)
Contexto del ataque: una emulación, no una intrusión en vivo
La actividad es claramente una emulación de las técnicas de Kimsuky. Cada comando del atacante tiene powershell_ise.exe como su proceso padre. Los objetos llevan nombres de prueba como OrbitalTestSvc, adminuserz y la contraseña !BackdoorPass1. Al final, el operador elimina el servicio, la tarea, el usuario y el grupo.
Las técnicas en sí reflejan una campaña publicada de Kimsuky en la que el grupo se hace pasar por diplomáticos y entrega archivos LNK y contenedores de PowerShell. Esa es la razón por la cual la telemetría es valiosa: los comportamientos son reales a pesar de que el operador no lo es.
Detectar Kimsuky
LogTotal procesó las 3,087 líneas en 16.4 segundos y coincidió con 73 reglas contra 105 líneas. Agrupó esas coincidencias en 9 cadenas de ataque en un host, reportó 8 y filtró 1 en el paso de verificación de IA.
| Campo de veredicto | Resultado |
| Veredicto | Sospechoso, necesita investigación |
| Severidad | Crítico |
| Confianza | Media |
Cómo las reglas de LogTotal se mapearon a evidencia en bruto de Kimsuky
| Regla activada | Evidencia en bruto |
| Ejecución sospechosa desde perfil de usuario público; Ejecución de intérprete de scripts desde carpeta sospechosa | LNK haciéndose pasar por PDF con un nombre con relleno de puntos (vvn.31.Pdf……Lnk); wscript.exe ejecutando DefenderUpdate.Js desde C:UsersPublicDownloads |
| Posibilidad de ejecución a través de líneas de comando ocultas de PowerShell | powershell.exe -ExecutionPolicy Bypass -WindowStyle Hidden -File …capture.Ps1 |
| Comportamiento sospechoso de evasión de defensa LOLBAS MSHTA | mshta.exe ejecutándose %TEMP%D.21_SEOUL.hta |
| Ejecución de procesos del sistema desde rutas atípicas | Falso smss.Exe bajo PublicDownloadssystem32 |
| Manipulación sospechosa de cuentas por defecto vía Net.EXE; Reg Add Rutas sospechosas | net user administrator /active:yes; Administrador oculto vía WinlogonSpecialAccountsUserList |
| Scripts de PowerShell instalados como servicios; Uso explícito de COMSPEC en la ruta del archivo del servicio | Servicio OrbitalTestSvc lanzando PowerShell oculto |
| Tarea programada sospechosa (vía auditoría) | Tarea activada por inicio de sesión OrbitalHealthCheck ejecutando svc_update.ps1 oculto |
| Creación sospechosa de ‘Admin’ Usuario local con Net Command; Usuario agregado a un grupo vía línea de comandos | adminuserz creado y agregado al nuevo grupo admingroupz |
| Se limpiaron los registros de eventos (nativo); Registro de Seguridad limpiado | Evento 1102 por Administrator a las 15:02:41 UTC |
IOCs y artefactos de Kimsuky de esta muestra
Los artefactos a continuación provienen de una emulación, por lo que los nombres en sí no se repetirán en el entorno. Los patrones detrás de ellos son lo que hay que buscar.
| Artefacto | Tipo | Patrón a cazar |
| vvn.31.Pdf……Lnk | Señuelo LNK | Archivos de acceso directo haciendo pasar por documentos con nombres con relleno de puntos |
| C:UsersPublicDownloadsDefenderUpdate.Js | JScript ejecutado por wscript.exe | Hosts de scripts lanzados desde carpetas accesibles por el usuario |
| capture.Ps1 | Script de PowerShell | -ExecutionPolicy Bypass -WindowStyle Hidden |
| %TEMP%D.21_SEOUL.hta | HTA ejecutado por mshta.exe | MSHTA ejecutando archivos desde %TEMP% |
| PublicDownloadssystem32smss.Exe | Binario de suplantación | Nombres de procesos del sistema fuera de System32 |
| OrbitalTestSvc | Servicio (4697) | Servicios que lanzan PowerShell oculto vía COMSPEC |
| OrbitalHealthCheck → svc_update.ps1 | Tarea programada (4698) | Tareas activadas por inicio de sesión ejecutando scripts ocultos |
| adminuserz, admingroupz, !BackdoorPass1 | Cuenta, grupo, contraseña | Nuevas cuentas y grupos locales similares a admin creados vía net.exe |
| WinlogonSpecialAccountsUserList | Valor del registro | Cuentas ocultas de la pantalla de inicio de sesión |
| Evento 1102 | Limpieza de registro | Registro de Seguridad limpiado antes de la actividad |
Mitigación de Kimsuky
Contenga primero el controlador de dominio, luego reconstruya la confianza en sus cuentas y registros. El plan de respuesta de LogTotal cubre lo esencial; dado que el objetivo es un DC, el alcance debe ampliarse al dominio.
Respuesta recomendada de LogTotal
- Aísle el host.
- Imagen de memoria y disco.
- Verifique y elimine la tarea programada OrbitalHealthCheck.
- Verifique y restaure la política de auditoría.
- Habilite el registro de bloque de scripts de PowerShell y la telemetría AMSI.
- Aplique listas de permitidos para WScript, CScript y PowerShell.
Pasos adicionales para un controlador de dominio
- Comience la línea de tiempo en el evento 1102. El registro de seguridad fue limpiado a las 15:02:41 UTC, por lo que cualquier cosa antes debe provenir de otras fuentes.
- Recoja y hashee todo en C:UsersPublicDownloads y %TEMP%, incluyendo el LNK, JScript, PowerShell, HTA y el falso smss.Exe.
- Confirme la limpieza. Verifique que OrbitalTestSvc, adminuserz y admingroupz hayan desaparecido, y revierta el valor de WinlogonSpecialAccountsUserList que oculta al Administrador.
- Restablezca las credenciales. Restablezca la contraseña de Administrator y planifique un doble reinicio de krbtgt.
- Busque en todo el dominio por nombres de archivos LNK con relleno de puntos y por hosts de scripts (wscript.exe, cscript.exe, mshta.exe, powershell.exe) lanzados desde carpetas accesibles por el usuario.
Fortalecimiento contra las técnicas de Kimsuky
Los mismos controles que detectan esta muestra reducen la exposición en todo el dominio. Mantenga habilitada la creación de procesos 4688 con líneas de comando, ya que los 49 eventos de procesos llevaron la mayor parte de la evidencia. Alerta sobre instalaciones de servicios 4697 y creaciones de tareas 4698 que lanzan PowerShell oculto. Trate cualquier evento 1102 en un DC como un desencadenante de incidente.
FAQ
¿Qué es Kimsuky y cómo opera?
Kimsuky es un grupo de espionaje patrocinado por el estado de Corea del Norte, rastreado por MITRE ATT&CK como G0094 y también conocido como APT43, Velvet Chollima y Emerald Sleet. Normalmente entra a través de spear-phishing personalizado, luego utiliza archivos LNK, scripts y PowerShell para instalar puertas traseras y persistencia para la recolección de inteligencia a largo plazo. La sección de análisis arriba tiene el perfil completo.
¿Cuándo se descubrió por primera vez Kimsuky?
CISA evalúa que Kimsuky probablemente ha estado operando desde 2012. El primer informe público detallado fue «La Operación Kimsuky» de Kaspersky en 2013, y el nombre del grupo proviene de una referencia de código interno que encontraron los investigadores de Kaspersky.
¿Cuál es el impacto de una intrusión de Kimsuky?
Kimsuky busca acceso a largo plazo para la recolección de inteligencia, incluido el robo de credenciales, y algunas de sus operaciones también apuntan al sector de las criptomonedas. Ha utilizado proveedores de software comprometidos para llegar a sus clientes, como en su campaña de software de colaboración de 2025 a principios de 2026. En un controlador de dominio, como en esta muestra, un atacante puede crear y ocultar cuentas de administrador y persistir en todo el dominio.
¿Kimsuky aún puede afectarme en 2026?
Sí. Kimsuky ejecutó varias campañas en 2026, incluyendo la Operación GitPower y una ola de HTTPSpy contra objetivos militares surcoreanos. Usan los mismos señuelos LNK, PowerShell oculto y persistencia de tareas programadas vistos en esta muestra. La sección de análisis enumera las campañas de 2026.
¿Cómo puedo protegerme de Kimsuky?
Aplique listas de permitidos o restrinja WScript, CScript y PowerShell, habilite el registro de bloque de scripts y la telemetría AMSI, y alerta sobre hosts de scripts que se ejecutan desde carpetas accesibles por el usuario. Monitoree nuevos servicios y tareas programadas que lanzan PowerShell oculto, y trate la limpieza de registro de auditoría en un DC como un incidente.
¿Cómo puedo detectar Kimsuky?
Recoja eventos de Seguridad de Windows con líneas de comando de proceso (4688), instalaciones de servicios (4697), eventos de tareas programadas (4698, 4702, 4699), cambios en cuentas y grupos (4720–4738), cambios en AD (5136) y limpieza de registros (1102). Ejecute la exportación a través de LogTotal para hacerla coincidir con campañas conocidas de Kimsuky, luego confirme cada hallazgo contra los eventos en bruto.
