Suivre La détection de Kimsuky dépend de la reconnaissance des méthodes du groupe dans votre propre télémétrie, et non juste de la correspondance d’une empreinte. Kimsuky est un groupe APT nord-coréen, et l’une de ses campagnes publiées usurpe l’identité de diplomates pour livrer des fichiers LNK et des déposants PowerShell. Ces techniques laissent des traces dans les journaux de sécurité Windows ordinaires : des hôtes de scripts lancés depuis des dossiers modifiables par l’utilisateur, PowerShell masqué, de nouveaux services et tâches planifiées, et des changements silencieux de compte.
Cet article couvre la détection de Kimsuky en utilisant un échantillon de journal analysé dans LogTotal, un outil d’analyse de journaux qui associe les événements aux menaces connues. Ci-dessous, nous décrivons d’où proviennent les journaux, ce que LogTotal a détecté, quelles découvertes tiennent face aux événements bruts, et quelle devrait être la réponse.
Analyse de Kimsuky
Les méthodes dans cet échantillon sont plus claires face au contexte du groupe et à ses campagnes récentes, donc nous commençons par là avant de passer aux journaux.
Qui est Kimsuky
Kimsuky est un groupe APT parrainé par l’État nord-coréen axé sur la collecte de renseignements. MITRE ATT&CK le suit sous le code G0094, et les fournisseurs l’appellent aussi APT43, Velvet Chollima, Black Banshee, THALLIUM, Emerald Sleet, TA427, et Springtail. Son activité semble alignée avec le Bureau Général de Reconnaissance de la Corée du Nord.
La CISA évalue que le groupe opère probablement depuis 2012. Le premier rapport public détaillé était « The Kimsuky Operation » de Kaspersky en 2013, et le nom provient d’une référence de code interne découverte par les chercheurs de Kaspersky.
La plupart des opérations de Kimsuky ciblent la Corée du Sud, avec d’autres atteignant les États-Unis, le Japon, l’Europe et la Russie. Au-delà des objectifs gouvernementaux et politiques, les victimes incluent des universitaires et le secteur des cryptomonnaies. Le spear-phishing est son point d’entrée le plus observé.
Activité de Kimsuky en 2026
| Période (2026) | Campagne | Méthodes |
| Octobre | Extension de l’Opération GitPower (Genians) | Faux installateurs Zoom et fichiers LNK à thème PDF contre des diplomates et experts en sécurité ukrainiens ; PowerShell masqué ; persistance par tâche planifiée |
| En cours | Opération GitPower | Archives ZIP avec fichiers LNK se faisant passer pour des documents, y compris des correspondances d’ambassade ; PowerShell obscurci ; GitHub pour les mises en scène et le C2 |
| Mars–Avril | Variante HTTPSpy (ENKI) | Pages d’installation de logiciels de sécurité usurpées et une fausse page Cisco Webex contre des cibles militaires et d’entreprise sud-coréennes |
| 2025 à début 2026 | Compromission d’un vendeur de logiciels de collaboration (ENKI WhiteHat) | Vendeurs de logiciels de collaboration sud-coréens compromis, suivis par leurs clients |
L’échantillon analysé ici date du 21 septembre 2026, dans cette période. Son LNK à thème PDF avec des points intermédiaires, PowerShell masqué, et la tâche planifiée déclenchée par la connexion correspondent étroitement à ces campagnes.
L’échantillon de journal
L’échantillon est un fichier unique, Kimsuky.jsonl, avec 3 087 événements d’un seul contrôleur de domaine. Il montre des méthodes de style Kimsuky exécutées contre un DC dans une émulation contrôlée, ce qui en fait une référence utile pour comprendre à quoi ressemble cette activité dans la télémétrie d’audit native de Windows.
Source et collecte du journal
| Attribut | Valeur |
| Fichier | Kimsuky.jsonl |
| Événements | 3 087 |
| Hôte | srv-ad-001.7logs.xyz, un contrôleur de domaine dans le domaine 7logs |
| Fenêtre temporelle | 21 septembre 2026, 15:02:41 à 15:05:58 UTC (un peu plus de trois minutes) |
| Format | Structure native EVTX en JSON (Event → System / EventData, attributs XML sous #attributes) |
La disposition JSON indique une conversion EVTX-vers-JSON plutôt qu’une exportation normalisée par SIEM.
Que contiennent les événements
La plupart des événements concernent l’audit des objets et des poignées (4658, 4656, 4663, 4690), les ajustements de droits de jeton (4703), et l’accès aux partages de fichiers (5145). Ils sont de haut volume et principalement des bruits de fond.
Les événements pertinents pour la détection sont bien moins nombreux :
- 49 créations de processus (4688) avec des lignes de commande complètes
- Gestion des comptes et des groupes (4720–4738)
- Installation de service (4697)
- Cycle de vie des tâches planifiées : créées, mises à jour, supprimées (4698, 4702, 4699)
- Modifications d’objets Active Directory (5136)
- Changements de politiques d’audit (4719)
Contexte d’attaque : une émulation, pas une intrusion en direct
L’activité est clairement une émulation des méthodes de Kimsuky. Chaque commande de l’attaquant a powershell_ise.exe comme processus parent. Les objets portent des noms de test tels que OrbitalTestSvc, adminuserz, et le mot de passe !BackdoorPass1. À la fin, l’opérateur supprime le service, la tâche, l’utilisateur, et le groupe.
Les techniques elles-mêmes reflètent une campagne publiée de Kimsuky dans laquelle le groupe usurpe l’identité de diplomates et livre des fichiers LNK et des déposants PowerShell. C’est pourquoi la télémétrie est précieuse : les comportements sont réels même si l’opérateur ne l’est pas.
Détecter Kimsuky
LogTotal a traité les 3 087 lignes en 16,4 secondes et a fait correspondre 73 règles avec 105 lignes. Il a regroupé ces correspondances en 9 chaînes d’attaque sur un hôte, en a signalé 8, et en a filtré 1 lors de l’étape de vérification AI.
| Champ du verdict | Résultat |
| Verdict | Suspect, nécessite une enquête |
| Gravité | Critique |
| Confiance | Moyenne |
Comment les règles de LogTotal mappent au preuves brutes de Kimsuky
| Règle déclenchée | Preuve brute |
| Exécution suspecte depuis le profil d’utilisateur public ; Exécution d’interprète de script depuis un dossier suspect | LNK se faisant passer pour un PDF avec un nom en pointillé (vvn.31.Pdf……Lnk) ; wscript.exe exécutant DefenderUpdate.Js depuis C:UsersPublicDownloads |
| Possibilité d’exécution à travers des lignes de commande PowerShell masquées | powershell.exe -ExecutionPolicy Bypass -WindowStyle Hidden -File …capture.Ps1 |
| Comportement d’évasion de défense suspect utilisant LOLBAS MSHTA | mshta.exe exécutant %TEMP%D.21_SEOUL.hta |
| Exécution de processus système depuis des chemins atypiques | Faux smss.Exe sous PublicDownloadssystem32 |
| Manipulation suspecte des comptes par défaut via Net.EXE ; Ajout de chemins suspects via Reg | net user administrator /active:yes ; Administrateur masqué via WinlogonSpecialAccountsUserList |
| Scripts PowerShell installés comme services ; Utilisation explicite de COMSPEC dans le chemin du fichier service | Service OrbitalTestSvc lançant PowerShell masqué |
| Tâche planifiée suspecte (via audit) | Tâche déclenchée par connexion OrbitalHealthCheck exécutant svc_update.ps1 caché |
| Création suspecte d’utilisateur local ‘Admin’ avec une commande Net ; Utilisateur ajouté à un groupe via la ligne de commande | adminuserz créé et ajouté à un nouveau groupe admingroupz |
| Journal des événements effacé (natif) ; Journaux de sécurité effacés | Événement 1102 par Administrator à 15:02:41 UTC |
IOC et artefacts de Kimsuky issus de cet échantillon
Les artefacts ci-dessous proviennent d’une émulation, donc les noms eux-mêmes ne se reproduiront pas dans la nature. Les motifs derrière eux sont ceux qu’il faut traquer.
| Artefact | Type | Motif à traquer |
| vvn.31.Pdf……Lnk | Appât LNK | Fichiers de raccourci se faisant passer pour des documents avec des noms en pointillé |
| C:UsersPublicDownloadsDefenderUpdate.Js | JScript exécuté par wscript.exe | Hôtes de scripts lancés depuis des dossiers modifiables par l’utilisateur |
| capture.Ps1 | Script PowerShell | -ExecutionPolicy Bypass -WindowStyle Hidden |
| %TEMP%D.21_SEOUL.hta | HTA exécuté par mshta.exe | MSHTA exécutant des fichiers depuis %TEMP% |
| PublicDownloadssystem32smss.Exe | Binaire usurpant l’identité | Noms de processus système en dehors de System32 |
| OrbitalTestSvc | Service (4697) | Services qui lancent PowerShell masqué via COMSPEC |
| OrbitalHealthCheck → svc_update.ps1 | Tâche planifiée (4698) | Tâches déclenchées par connexion exécutant des scripts masqués |
| adminuserz, admingroupz, !BackdoorPass1 | Compte, groupe, mot de passe | Nouveaux comptes et groupes locaux ressemblant à des administrateurs créés via net.exe |
| WinlogonSpecialAccountsUserList | Valeur de registre | Comptes masqués de l’écran de connexion |
| Événement 1102 | Effacement du journal | Journal de sécurité effacé avant l’activité |
Mitigation de Kimsuky
Contenir d’abord le contrôleur de domaine, puis rétablir la confiance dans ses comptes et sa journalisation. Le plan de réponse de LogTotal couvre l’essentiel ; comme la cible est un DC, la portée doit s’élargir au domaine.
Réponse recommandée par LogTotal
- Isoler l’hôte.
- Image de mémoire et disque.
- Vérifier et supprimer la tâche planifiée OrbitalHealthCheck.
- Vérifier et restaurer la politique d’audit.
- Activer la journalisation des blocs de script PowerShell et la télémétrie AMSI.
- Appliquer une liste blanche pour WScript, CScript, et PowerShell.
Étapes supplémentaires pour un contrôleur de domaine
- Commencer la chronologie à l’événement 1102. Le journal de sécurité a été effacé à 15:02:41 UTC, donc tout ce qui précède doit provenir d’autres sources.
- Collecter et hacher tout dans C:UsersPublicDownloads et %TEMP%, y compris le LNK, JScript, PowerShell, HTA, et le faux smss.Exe.
- Confirmer le nettoyage. Vérifier que OrbitalTestSvc, adminuserz, et admingroupz ont disparu, et rétablir la valeur WinlogonSpecialAccountsUserList qui masque Administrator.
- Réinitialiser les informations d’identification. Réinitialiser le mot de passe de l’administrateur et prévoir une réinitialisation krbtgt double.
- Chassez à l’échelle du domaine les noms de fichiers LNK en pointillé et les hôtes de scripts (wscript.exe, cscript.exe, mshta.exe, powershell.exe) lancés depuis des dossiers modifiables par l’utilisateur.
Renforcement contre les techniques de style Kimsuky
Les mêmes contrôles qui capturent cet échantillon réduisent l’exposition à l’échelle du domaine. Gardez la création de processus 4688 avec les lignes de commande activée, car les 49 événements de processus ont transporté la plupart des preuves. Alertez sur les installations de service 4697 et les créations de tâches 4698 qui lancent PowerShell masqué. Traitez tout événement 1102 sur un DC comme un déclencheur d’incident.
FAQ
Qu’est-ce que Kimsuky et comment opère-t-il ?
Kimsuky est un groupe d’espionnage parrainé par l’État nord-coréen, suivi par MITRE ATT&CK sous le code G0094 et également connu sous le nom de APT43, Velvet Chollima et Emerald Sleet. Il pénètre généralement par spear-phishing sur mesure, puis utilise des fichiers LNK, des scripts et PowerShell pour installer des portes dérobées et des persistance pour une collecte de renseignements à long terme. La section d’analyse ci-dessus a le profil complet.
Quand Kimsuky a-t-il été découvert pour la première fois ?
La CISA évalue que Kimsuky opère probablement depuis 2012. Le premier rapport public détaillé était « The Kimsuky Operation » de Kaspersky en 2013, et le nom du groupe provient d’une référence de code interne découverte par les chercheurs de Kaspersky.
Quel est l’impact d’une intrusion de Kimsuky ?
Kimsuky cherche à obtenir un accès à long terme pour la collecte de renseignements, y compris le vol d’identifiants, et certaines de ses opérations ciblent également le secteur des cryptomonnaies. Il a utilisé des vendeurs de logiciels compromis pour atteindre leurs clients, comme dans sa campagne de logiciels collaboratifs de 2025 à début 2026. Sur un contrôleur de domaine, comme dans cet échantillon, un attaquant peut créer et masquer des comptes administrateurs et persister à travers tout le domaine.
Kimsuky peut-il encore m’affecter en 2026 ?
Oui. Kimsuky a mené plusieurs campagnes en 2026, y compris l’Opération GitPower et une vague HTTPSpy contre des cibles militaires sud-coréennes. Ils utilisent les mêmes leurres LNK, PowerShell masqué, et la persistance par tâche planifiée observés dans cet échantillon. La section d’analyse liste les campagnes de 2026.
Comment puis-je me protéger contre Kimsuky ?
Mettre en liste blanche ou restreindre WScript, CScript, et PowerShell, activer la journalisation des blocs de script et la télémétrie AMSI, et alerter sur les hôtes de scripts s’exécutant depuis des dossiers modifiables par l’utilisateur. Surveiller les nouveaux services et tâches planifiées qui lancent PowerShell masqué, et traiter l’effacement de journaux d’audit sur un DC comme un incident.
Comment puis-je détecter Kimsuky ?
Collecter les événements de sécurité Windows avec les lignes de commande de processus (4688), les installations de service (4697), les événements de tâche planifiée (4698, 4702, 4699), les changements de compte et de groupe (4720–4738), les changements AD (5136), et l’effacement de journaux (1102). Passez l’exportation à travers LogTotal pour la comparer aux campagnes connues de Kimsuky, puis confirmez chaque découverte par rapport aux événements bruts.
