Segui Il rilevamento di Kimsuky dipende dal riconoscimento della sua tattica nei vostri stessi dati, non solo dal confronto di un hash. Kimsuky è un gruppo APT nordcoreano, e una delle sue campagne pubblicate finge di essere diplomatici per consegnare file LNK e dropper PowerShell. Queste tecniche lasciano tracce nei normali registri di sicurezza di Windows: host di script lanciati da cartelle scrivibili dall’utente, PowerShell nascosto, nuovi servizi e attività pianificate, e cambiamenti silenziosi negli account.
Questo articolo tratta il rilevamento di Kimsuky utilizzando un campione di registro analizzato in LogTotal, uno strumento di analisi dei log che abbina eventi a minacce note. Di seguito, descriviamo da dove provengono i registri, ciò che LogTotal ha evidenziato, quali risultati si confermano contro gli eventi grezzi e quale dovrebbe essere la risposta.
Analisi Kimsuky
La tattica in questo campione si legge più chiaramente considerando lo sfondo del gruppo e delle sue campagne recenti, quindi partiamo da lì prima di passare ai log.
Chi è Kimsuky
Kimsuky è un gruppo APT sponsorizzato dallo stato nordcoreano focalizzato sulla raccolta di intelligence. MITRE ATT&CK lo traccia come G0094, e i fornitori lo chiamano anche APT43, Velvet Chollima, Black Banshee, THALLIUM, Emerald Sleet, TA427 e Springtail. Si ritiene che la sua attività sia in linea con l’Ufficio Generale di Ricognizione della Corea del Nord.
CISA valuta che il gruppo abbia probabilmente operato dal 2012. Il primo rapporto pubblico dettagliato fu “The Kimsuky Operation” di Kaspersky nel 2013, e il nome deriva da un riferimento a un codice interno scoperto dai ricercatori di Kaspersky.
La maggior parte delle operazioni di Kimsuky colpisce la Corea del Sud, con altre che raggiungono gli Stati Uniti, il Giappone, l’Europa e la Russia. Oltre agli obiettivi governativi e politici, le vittime comprendono accademici e il settore delle criptovalute. Il phishing mirato è il suo punto d’entrata più osservato.
Attività Kimsuky nel 2026
| Periodo (2026) | Campagna | Tecniche |
| Ottobre | Espansione Operazione GitPower (Genians) | Installatori Zoom falsi e file LNK a tema PDF contro la diplomazia e gli esperti di sicurezza ucraini; PowerShell nascosto; persistenza tramite attività pianificate |
| In corso | Operazione GitPower | Archivi ZIP con file LNK che si fanno passare per documenti, inclusa corrispondenza di ambasciata; PowerShell offuscato; GitHub per staging e C2 |
| Marzo–Aprile | Variante HTTPSpy (ENKI) | Pagine di installazione di software di sicurezza fasulle e una pagina fasulla di Cisco Webex contro obiettivi militari e aziendali sudcoreani |
| 2025 a inizio 2026 | Compromissione di fornitori di software di gruppo (ENKI WhiteHat) | Violate il software di collaborazione sudcoreano e poi i loro clienti |
Il campione analizzato qui risale al 21 settembre 2026, all’interno di questo periodo. Il suo LNK a tema PDF con punti, PowerShell nascosto e attività pianificata attivata al logon rispecchiano queste campagne da vicino.
Il campione di log
Il campione è un singolo file, Kimsuky.jsonl, con 3.087 eventi da un controller di dominio. Mostra la tattica di Kimsuky eseguita su un DC in un’emulazione controllata, rendendolo un riferimento utile per cosa può apparire questa attività nei dati di telemetria di audit nativi di Windows.
Fonte e raccolta del log
| Attributo | Valore |
| File | Kimsuky.jsonl |
| Eventi | 3.087 |
| Host | srv-ad-001.7logs.xyz, un controller di dominio nel dominio 7logs |
| Finestra temporale | 21 settembre 2026, 15:02:41 alle 15:05:58 UTC (poco più di tre minuti) |
| Formato | Struttura nativa EVTX in JSON (Evento → Sistema / DatiEvento, attributi XML sotto #attributes) |
Il layout JSON indica una conversione EVTX-to-JSON piuttosto che un’esportazione normalizzata SIEM.
Cosa contengono gli eventi
La maggior parte degli eventi riguarda controlli di oggetti e handle (4658, 4656, 4663, 4690), aggiustamenti dei diritti dei token (4703) e accesso a condivisioni di file (5145). Questi sono ad alto volume e per lo più rumore di fondo.
Gli eventi rilevanti per la rilevazione sono molto meno numerosi:
- 49 creazioni di processi (4688) con linee di comando complete
- Gestione di account e gruppi (4720–4738)
- Installazione di servizi (4697)
- Ciclo di vita delle attività pianificate: create, aggiornate, eliminate (4698, 4702, 4699)
- Modifiche agli oggetti di Active Directory (5136)
- Modifiche alla politica di audit (4719)
Contesto dell’attacco: un’emulazione, non un’intrusione reale
L’attività è chiaramente un’emulazione della tattica di Kimsuky. Ogni comando dell’attaccante ha come processo genitore powershell_ise.exe. Gli oggetti portano nomi di test come OrbitalTestSvc, adminuserz e la password !BackdoorPass1. Alla fine, l’operatore rimuove il servizio, il compito, l’utente e il gruppo.
Le tecniche stesse rispecchiano una campagna pubblicata di Kimsuky in cui il gruppo finge di essere diplomatici e consegna file LNK e dropper PowerShell. Ecco perché la telemetria è preziosa: i comportamenti sono reali anche se l’operatore non lo è.
Rileva Kimsuky
LogTotal ha elaborato tutte le 3.087 righe in 16,4 secondi e ha abbinato 73 regole contro 105 righe. Ha raggruppato queste corrispondenze in 9 catene di attacco su un host, ne ha riportate 8 e ne ha filtrata 1 nella fase di verifica AI.
| Campo di Verdetto | Risultato |
| Verdetto | Sospetto, necessita di indagine |
| Severità | Critico |
| Fiducia | Media |
Come le regole di LogTotal si mappano sulle prove grezze di Kimsuky
| Regola attivata | Prova grezza |
| Esecuzione sospetta da profilo utente pubblico; Esecuzione interprete script da cartella sospetta | LNK che finge di essere un PDF con un nome puntato a puntini (vvn.31.Pdf……Lnk); wscript.exe in esecuzione DefenderUpdate.Js da C:UsersPublicDownloads |
| Possibilità di esecuzione tramite righe di comando PowerShell nascoste | powershell.exe -ExecutionPolicy Bypass -WindowStyle Hidden -File …capture.Ps1 |
| Comportamento di elusione difensiva LOLBAS sospetto MSHTA | mshta.exe che esegue %TEMP%D.21_SEOUL.hta |
| Esecuzione di processi di sistema da percorsi atipici | Finto smss.Exe in PublicDownloadssystem32 |
| Manipolazione sospetta degli account predefiniti tramite Net.EXE; Percorsi sospetti Reg Add | net user administrator /active:yes; Amministratore nascosto tramite WinlogonSpecialAccountsUserList |
| Script PowerShell installati come servizi; Uso esplicito di COMSPEC nel percorso del file di servizio | Servizio OrbitalTestSvc che lancia PowerShell nascosto |
| Attività pianificata sospetta (tramite audit) | Attività attivata al logon OrbitalHealthCheck che esegue svc_update.ps1 nascosto |
| Creazione sospetta di un utente locale ‘Admin’ con comando Net; Utente aggiunto a un gruppo tramite riga di comando | adminuserz creato e aggiunto al nuovo gruppo admingroupz |
| Registro eventi cancellato (nativo); Registro eventi di sicurezza cancellato | Evento 1102 da Amministratore alle 15:02:41 UTC |
IOC e artefatti di Kimsuky da questo campione
Gli artefatti qui sotto provengono da un’emulazione, quindi i loro nomi non si ripeteranno nel mondo reale. I modelli dietro di essi sono ciò che bisogna cercare.
| Artefatto | Tipo | Modello da cercare |
| vvn.31.Pdf……Lnk | Esca LNK | File di collegamento che si spacciano per documenti con nomi puntati a puntini |
| C:UsersPublicDownloadsDefenderUpdate.Js | JScript eseguito da wscript.exe | Host di script lanciati da cartelle scrivibili dall’utente |
| capture.Ps1 | Script PowerShell | -ExecutionPolicy Bypass -WindowStyle Hidden |
| %TEMP%D.21_SEOUL.hta | HTA eseguito da mshta.exe | MSHTA che esegue file da %TEMP% |
| PublicDownloadssystem32smss.Exe | Binario mascherato | Nomi di processi di sistema al di fuori di System32 |
| OrbitalTestSvc | Servizio (4697) | Servizi che lanciano PowerShell nascosto tramite COMSPEC |
| OrbitalHealthCheck → svc_update.ps1 | Attività pianificata (4698) | Attività attivate al logon che eseguono script nascosti |
| adminuserz, admingroupz, !BackdoorPass1 | Account, gruppo, password | Nuovi account e gruppi locali simili ad amministratori creati tramite net.exe |
| WinlogonSpecialAccountsUserList | Valore di registro | Account nascosti dalla schermata di logon |
| Evento 1102 | Pulizia registro | Registro di sicurezza cancellato prima dell’attività |
Mitigazione Kimsuky
Contenere prima il controller di dominio, quindi ricostruire la fiducia nei suoi account e nel logging. Il piano di risposta di LogTotal copre gli elementi essenziali; poiché l’obiettivo è un DC, l’ambito deve essere ampliato al dominio.
Risposta raccomandata da LogTotal
- Isolare l’host.
- Immagine della memoria e del disco.
- Verificare e rimuovere l’attività pianificata OrbitalHealthCheck.
- Controllare e ripristinare la politica di audit.
- Abilitare il Monitoraggio dei Blocchi di Script PowerShell e la telemetria AMSI.
- Applicare l’elenco dei nodi consentiti per WScript, CScript e PowerShell.
Passi aggiuntivi per un controller di dominio
- Iniziare la timeline all’evento 1102. Il registro di sicurezza è stato cancellato alle 15:02:41 UTC, quindi tutto ciò che lo precede deve provenire da altre fonti.
- Raccogliere e creare hash di tutto in C:UsersPublicDownloads e %TEMP%, inclusi LNK, JScript, PowerShell, HTA e falsi smss.Exe.
- Confermare la pulizia. Verificare che OrbitalTestSvc, adminuserz e admingroupz siano scomparsi e ripristinare il valore WinlogonSpecialAccountsUserList che nascondeva l’amministratore.
- Reimpostare le credenziali. Reimpostare la password di Amministratore e pianificare un doppio reset krbtgt.
- Cacciare sull’intero dominio per i nomi di file LNK a puntini e per gli host di script (wscript.exe, cscript.exe, mshta.exe, powershell.exe) lanciati da cartelle scrivibili dall’utente.
Irrigidimento contro la tattica in stile Kimsuky
Gli stessi controlli che individuano questo campione riducono l’esposizione su tutto il dominio. Mantenere il 4688 di creazione processo con linee di comando abilitato, dato che i 49 eventi di processo hanno fornito la maggior parte delle prove. Allertare su 4697 installazioni di servizi e creazioni di attività 4698 che lanciano PowerShell nascosto. Trattare qualsiasi evento 1102 su un DC come un trigger di incidente.
FAQ
Cos’è Kimsuky e come opera?
Kimsuky è un gruppo di spionaggio sponsorizzato dallo stato nordcoreano, tracciato da MITRE ATT&CK come G0094 e noto anche come APT43, Velvet Chollima ed Emerald Sleet. Tipicamente entra attraverso phishing mirato, quindi usa file LNK, script e PowerShell per installare backdoor e persistenza per la raccolta di intelligence a lungo termine. La sezione di analisi sopra ha il profilo completo.
Quando è stato scoperto Kimsuky per la prima volta?
CISA valuta che Kimsuky abbia probabilmente operato dal 2012. Il primo rapporto pubblico dettagliato fu “The Kimsuky Operation” di Kaspersky nel 2013, e il nome del gruppo deriva da un riferimento a un codice interno scoperto dai ricercatori di Kaspersky.
Qual è l’impatto di un’intrusione di Kimsuky?
Kimsuky cerca accesso a lungo termine per la raccolta di intelligence, incluso il furto di credenziali, e alcune delle sue operazioni prendono di mira anche il settore delle criptovalute. Ha usato fornitori di software compromessi per raggiungere i loro clienti, come nella sua campagna di software di gruppo dal 2025 a inizio 2026. Su un controller di dominio, come in questo campione, un attaccante può creare e nascondere account amministrativi e persistere in tutto il dominio.
Kimsuky può ancora influenzarmi nel 2026?
Sì. Kimsuky ha condotto diverse campagne nel 2026, inclusa Operazione GitPower e un’ondata HTTPSpy contro target militari sudcoreani. Usano le stesse esche LNK, PowerShell nascosto e persistenza tramite attività pianificate viste in questo campione. La sezione di analisi elenca le campagne del 2026.
Come posso proteggermi da Kimsuky?
Consentire o restringere WScript, CScript e PowerShell, abilitare il Monitoraggio dei Blocchi di Script e la telemetria AMSI, e allertare sugli host di script che vengono eseguiti da cartelle scrivibili dall’utente. Monitorare la creazione di nuovi servizi e attività pianificate che lanciano PowerShell nascosto, e trattare la pulizia di registro dell’audit su un DC come un incidente.
Come posso rilevare Kimsuky?
Raccogli eventi di sicurezza di Windows con linee di comando di processo (4688), installazioni di servizi (4697), eventi di attività pianificate (4698, 4702, 4699), cambiamenti di account e gruppi (4720–4738), cambiamenti AD (5136), e pulizia del registro (1102). Esegui l’esportazione tramite LogTotal per abbinarla alle campagne note di Kimsuky, quindi conferma ogni risultato contro gli eventi grezzi.
