Kampanie powiązane z Kimsuky podkreślają ewolucję taktyk dystrybucji ransomware

Podsumowanie

Grupa Kimsuky rozwinęła swoje taktyki, używając złośliwych dokumentów Hangul (HWP) przebranych za życiorysy do dystrybucji ransomware Funhouse. Wieloetapowy atak polega na osadzonych obiektach OLE, które uruchamiają skrypty do wdrożenia Quasar RAT, który następnie instaluje ładunek ransomware. Kampania przedstawia zmianę z wcześniej obserwowanej dostawy opartej na LNK na inicjalny dostęp oparty na dokumentach.

Dochódzenie

AhnLab Security Intelligence Center przeanalizowało łańcuch infekcji i odkryło, że początkowe naruszenie zaczyna się od złośliwego pliku HWP. Badacze zauważyli sekwencyjne wykonanie skryptów Batch, VBS i PowerShell, po którym następuje backdoor oparty na Pythonie i Quasar RAT. Analiza plików konfiguracyjnych Quasar RAT również ujawniła powtarzające się wzorce mutex i cechy komunikacji C2, wspólne dla wielu kampanii.

Łagodzenie

Użytkownicy powinni być ostrożni, otwierając niezamówione dokumenty, szczególnie życiorysy, i zweryfikować legalność osadzonych linków przed interakcją z nimi. Organizacje powinny zastosować najnowsze aktualizacje zabezpieczeń do oprogramowania Hangul i systemów operacyjnych. Utrzymywanie aktualnych rozwiązań zabezpieczeń punktów końcowych, takich jak V3, jest również ważne dla wykrywania tych technik wieloetapowego wykonywania.

Reakcja

Gdy zostanie wykryta złośliwa aktywność, izoluj dotknięte punkty końcowe, aby zapobiec ruchowi bocznemu i fazie szyfrowania ransomware Funhouse. Wykonaj przegląd kryminalistyki katalogu %TEMP% w poszukiwaniu podejrzanych plików .exe, .manifest i .bat. Monitoruj nieautoryzowane pliki konfiguracyjne Quasar RAT z rozszerzeniem .dwg i wzorce mutex związane z aktywnością grupy.

Wykonanie symulacji

• Narracja ataku & polecenia: Przeciwnik inicjuje kampanię spear-phishingową, używając dokumentu procesora tekstu Hangul o nazwie resume.Hwp. Po otwarciu osadzone obiekty OLE powodują pobranie i wykonanie etapowego ładunku. Aby zasymulować konkretną detekcję, zasymulujemy wykonanie QuasarRAT.exe binarium, gdzie linia poleceń wyraźnie odnosi się do pliku wyzwalającego resume.Hwp. To naśladuje taktykę grupy Kimsuky użycia wyzwalaczy opartych na dokumentach do uruchomienia ich RAT.

• Skrypt testu regresji:

  # Skrypt symulacyjny: Wyzwalanie dystrybucji Funhouse przez Kimsuky
  # Ten skrypt tworzy fikcyjne binarium i wykonuje je z konkretną linią poleceń potrzebną do wyzwolenia reguły.
  
  $DummyExe = "$env:TEMPQuasarRAT.exe"
  $TriggerFile = "resume.Hwp"
  
  # 1. Stwórz fikcyjny plik wykonywalny, aby zasymulować RAT
  New-Item -Path $DummyExe -ItemType File -Force
  # Używamy prostej funkcji 'echo', aby uczynić go 'wykonywalnym' dla telemetrii tworzenia procesu
  Set-Content -Path $DummyExe -Value "To jest fikcyjne binarium do testowania wykrywania."
  
  # 2. Wykonaj fikcyjny plik binarny z wzorem określonej linii poleceń zdefiniowanym w regule Sigma
  # Reguła szuka 'QuasarRAT.exe' I 'resume.Hwp' w linii poleceń
  Start-Process -FilePath $DummyExe -ArgumentList "/run /target $TriggerFile" -WindowStyle Hidden
  
  Write-Host "Symulacja zakończona. Sprawdź SIEM pod kątem wykrycia QuasarRAT.exe z linią poleceń zawierającą $TriggerFile"

• Polecenia czyszczenia:

  # Skrypt czyszczenia
  Remove-Item -Path "$env:TEMPQuasarRAT.exe" -Force -ErrorAction SilentlyContinue
  Write-Host "Czyszczenie zakończone."