Kimsuky関連キャンペーンが進化するランサムウェア配信戦術を浮き彫りに

概要

Kimsukyグループは戦術を進化させ、履歴書を装った悪意のあるハングル(HWP)文書を用いてFunhouseランサムウェアを配布しています。この多段階攻撃は、Quasar RATを展開するスクリプトを起動する埋め込みOLEオブジェクトに依存しており、その後ランサムウェアのペイロードをインストールします。このキャンペーンは、以前に観測されたLNKベースの配信から、文書ベースの初期アクセスへのシフトを表しています。

調査

AhnLabセキュリティインテリジェンスセンターは感染チェーンを分析し、最初の侵害は悪意のあるHWPファイルから始まることを発見しました。研究者たちはバッチ、VBS、PowerShellスクリプトの順次実行を観測し、その後PythonベースのバックドアとQuasar RATが続きました。Quasar RATの設定ファイルの分析では、複数のキャンペーンに共通する再発するミューテックスのパターンとC2通信の特徴も明らかになりました。

緩和策

ユーザーは、不審な履歴書などの添付ファイルを開く際に注意を払い、提供されているリンクの正当性を確認するべきです。組織はハングルソフトウェアやオペレーティングシステムに最新のセキュリティアップデートを適用すべきです。また、V3などのエンドポイントセキュリティソリューションを最新の状態に保つことも、これらの多段階実行技術の検出に重要です。

対応

不正な活動が検出された時、Funhouseランサムウェアの横方向移動と暗号化フェーズを防ぐために、影響を受けたエンドポイントを隔離します。%TEMP%ディレクトリの不審な.exe、.manifest、および.batファイルを法医分析します。グループの活動と関連する.dwg拡張子の無断Quasar RAT設定ファイルとミューテックスパターンを監視します。

シミュレーション実行

• 攻撃シナリオ&コマンド： 攻撃者が resume.Hwpという名前のハングルワードプロセッサ文書を使ったスピアフィッシングキャンペーンを開始します。開くと、埋め込まれたOLEオブジェクトがダウンロードと段階的なペイロードの実行を引き起こします。特定の検出トリガーをシミュレートするために、明示的にトリガーファイルを参照するコマンドラインで QuasarRAT.exe バイナリの実行をシミュレートします。これは、文書ベースのトリガーを使用してRATを起動するKimsukyグループの戦術を模倣しています。 resume.Hwp. This mimics the Kimsuky group’s tactic of using document-based triggers to launch their RAT.

• 回帰テストスクリプト：

  # シミュレーションスクリプト: Kimsuky Funhouse配布トリガー
  # このスクリプトはダミーバイナリを作成し、ルールをトリガーするために必要な特定のコマンドラインで実行します。
  
  $DummyExe = "$env:TEMPQuasarRAT.exe"
  $TriggerFile = "resume.Hwp"
  
  # 1. RATをシミュレートするためにダミーの実行可能ファイルを作成
  New-Item -Path $DummyExe -ItemType File -Force
  # プロセス作成のテレメトリのために単純な'echo'を使って'実行可能ファイル'にします
  Set-Content -Path $DummyExe -Value "これは検出テスト用のダミーバイナリです。"
  
  # 2. Sigmaルールで定義された特定のコマンドラインパターンでダミーバイナリを実行
  # ルールは'QuasarRAT.exe'と'resume.Hwp'がコマンドラインに含まれていることを探します
  Start-Process -FilePath $DummyExe -ArgumentList "/run /target $TriggerFile" -WindowStyle Hidden
  
  Write-Host "シミュレーション完了。SIEMで'QuasarRAT.exe'の検出を確認してください。コマンドラインに$TriggerFileが含まれていること。"

• クリーンアップコマンド：

  # クリーンアップスクリプト
  Remove-Item -Path "$env:TEMPQuasarRAT.exe" -Force -ErrorAction SilentlyContinue
  Write-Host "クリーンアップ完了。"