Tendances des attaques APT en Corée du Sud : septembre 2026

Résumé

AhnLab signale une activité APT accrue ciblant les organisations sud-coréennes tout au long de septembre 2026. Les attaques reposent principalement sur le spear phishing avec des fichiers LNK malveillants, des fichiers HTA et des DLLs pour distribuer des voleurs d’informations, des keyloggers et des portes dérobées. Les acteurs de la menace abusent également des scripts PowerShell, des utilitaires Windows légitimes tels que curl.exe et regsvr32.exe, ainsi que des canaux de commande et de contrôle, y compris PubNub et GitHub.

Enquête

L’enquête a catégorisé les intrusions observées en plusieurs types, y compris A, B, C et D, basés sur leurs techniques d’exécution. Les analystes ont identifié des modèles récurrents tels que des fichiers LNK intégrant du PowerShell, des documents leurres et un déploiement de logiciels malveillants impliquant XenoRAT et plusieurs voleurs d’informations. L’analyse technique a également révélé l’utilisation de l’encodage Base64 pour l’exfiltration de données et des tâches planifiées établies pour la persistance.

Atténuation

Pour réduire l’exposition, les utilisateurs doivent vérifier l’identité des expéditeurs d’e-mails et éviter d’ouvrir des pièces jointes ou des liens provenant de sources inconnues ou suspectes. Les organisations doivent maintenir leurs systèmes d’exploitation et navigateurs web à jour avec les derniers correctifs de sécurité. Il est également fortement recommandé de maintenir à jour les logiciels de sécurité des points de terminaison, y compris des solutions telles que V3.

Réponse

Lorsqu’une activité malveillante est détectée, les intervenants doivent isoler les systèmes affectés pour empêcher l’exfiltration de données supplémentaire ou les mouvements latéraux. Effectuer une analyse forensique pour identifier le point d’entrée initial, y compris les e-mails de phishing ou les fichiers LNK malveillants. Examiner les tâches planifiées et les entrées de registre pour des persistance non autorisée et enquêter sur les connexions sortantes suspectes vers une infrastructure connue ou potentiellement malveillante.

Exécution de simulation

• Narration de l’attaque & Commandes : L’adversaire a distribué un fichier .lnk via un e-mail de phishing. Lorsque l’utilisateur clique sur le raccourci, il exécute une ligne de commande qui lance PowerShell. Pour échapper à la détection simple basée sur la signature, l’attaquant utilise l’encodage Base64 pour la charge utile. Pour tester si la règle de sécurité actuelle détecte ce modèle spécifique, le script inclura les chaînes exactes "Script PowerShell intégré dans le fichier LNK" and "Base64" dans le bloc de script pour simuler la télémétrie spécifique que le SOC recherche.

• Script de test de régression :

  # Script de simulation conçu pour déclencher la logique de détection spécifique
  # Le script contient les chaînes exactes requises par la règle Sigma
  
  $encodedPayload = "Write-Host 'Malware Payload Executed'"
  $bytes = [System.Convert]::FromBase64String([System.Convert]::ToBase64String([System.Text.Encoding]::UTF8.GetBytes($encodedPayload)))
  $decodedCommand = [System.Text.Encoding]::UTF8.GetString($bytes)
  
  # Ces commentaires sont essentiels pour déclencher la logique de détection actuelle fragile
  # Script PowerShell intégré dans le fichier LNK
  # Utilisation de Base64 pour la livraison de la charge utile
  
  Invoke-Expression $decodedCommand

• Commandes de nettoyage :

  # Aucun changement permanent effectué par le script de simulation.
  # Si un fichier LNK a été créé, supprimez-le :
  # Remove-Item "$HOMEDesktopMaliciousShortcut.lnk" -ErrorAction SilentlyContinue