Les campagnes liées à Kimsuky soulignent l’évolution des tactiques de distribution de ransomware

Résumé

Le groupe Kimsuky a fait évoluer ses tactiques en utilisant des documents Hangul (HWP) malveillants déguisés en CV pour distribuer le ransomware Funhouse. L’attaque en plusieurs étapes repose sur des objets OLE intégrés qui lancent des scripts pour déployer Quasar RAT, qui installe ensuite la charge utile du ransomware. Cette campagne représente un changement par rapport à la méthode de livraison basée sur LNK précédemment observée pour un accès initial basé sur des documents.

Enquête

Le AhnLab Security Intelligence Center a analysé la chaîne d’infection et a découvert que le compromis initial commence par un fichier HWP malveillant. Les chercheurs ont observé une exécution séquentielle de scripts Batch, VBS et PowerShell, suivie par un backdoor basé sur Python et Quasar RAT. L’analyse des fichiers de configuration de Quasar RAT a également révélé des motifs de mutex récurrents et des caractéristiques de communication C2 partagées dans plusieurs campagnes.

Atténuation

Les utilisateurs doivent être prudents lorsqu’ils ouvrent des documents non sollicités, en particulier les CV, et vérifier la légitimité des liens intégrés avant de les interagir. Les organisations doivent appliquer les dernières mises à jour de sécurité au logiciel Hangul et aux systèmes d’exploitation. Tenir à jour les solutions de sécurité des points finaux comme V3 est également important pour détecter ces techniques d’exécution en plusieurs étapes.

Réponse

Lorsque des activités malveillantes sont détectées, isolez les points finaux affectés pour prévenir le mouvement latéral et la phase de chiffrement du ransomware Funhouse. Effectuez un examen forensic du répertoire %TEMP% pour des fichiers .exe, .manifest, et .bat suspects. Surveillez les fichiers de configuration non autorisés de Quasar RAT avec l’extension .dwg et les motifs de mutex associés à l’activité du groupe.

Exécution de simulation

• Narration de l’attaque & Commandes : Un adversaire lance une campagne de spear-phishing en utilisant un document de traitement de texte Hangul nommé resume.Hwp. Lors de l’ouverture, des objets OLE intégrés déclenchent le téléchargement et l’exécution d’une charge utile étagée. Pour simuler le déclenchement de détection spécifique, nous simulerons l’exécution du QuasarRAT.exe binaire où la ligne de commande fait explicitement référence au fichier déclencheur resume.Hwp. Cela imite la tactique du groupe Kimsuky consistant à utiliser des déclencheurs basés sur des documents pour lancer leur RAT.

• Script de test de régression :

  # Script de simulation : Déclencheur de distribution Kimsuky Funhouse
  # Ce script crée un binaire factice et l'exécute avec la ligne de commande spécifique requise pour déclencher la règle.
  
  $DummyExe = "$env:TEMPQuasarRAT.exe"
  $TriggerFile = "resume.Hwp"
  
  # 1. Créer un exécutable factice pour simuler le RAT
  New-Item -Path $DummyExe -ItemType File -Force
  # Nous utilisons un simple 'echo' pour en faire un 'exécutable' dans le but de la télémétrie de création de processus
  Set-Content -Path $DummyExe -Value "Il s'agit d'un binaire factice pour les tests de détection."
  
  # 2. Exécuter le binaire factice avec le modèle de ligne de commande spécifique défini dans la règle Sigma
  # La règle recherche 'QuasarRAT.exe' ET 'resume.Hwp' dans la ligne de commande
  Start-Process -FilePath $DummyExe -ArgumentList "/run /target $TriggerFile" -WindowStyle Hidden
  
  Write-Host "Simulation complète. Vérifiez le SIEM pour la détection de QuasarRAT.exe avec la ligne de commande contenant $TriggerFile"

• Commandes de nettoyage :

  # Script de nettoyage
  Remove-Item -Path "$env:TEMPQuasarRAT.exe" -Force -ErrorAction SilentlyContinue
  Write-Host "Nettoyage complet."