Trendy ataków APT w Korei Południowej: wrzesień 2026

Podsumowanie

AhnLab zgłasza wzmożoną aktywność APT wymierzoną przeciwko organizacjom południowokoreańskim przez cały wrzesień 2026 r. Ataki głównie opierają się na spear phishingu z użyciem złośliwych plików LNK, plików HTA i bibliotek DLL do dostarczania infostealerów, keyloggerów i backdoorów. Atakujący nadużywają także skryptów PowerShell, legalnych narzędzi Windows, takich jak curl.exe i regsvr32.exe, oraz kanałów command-and-control, w tym PubNub i GitHub.

Badanie

Badanie skategoryzowało zaobserwowane włamania na kilka typów, w tym A, B, C i D, w oparciu o ich techniki wykonania. Analitycy zidentyfikowali powtarzające się wzorce, takie jak pliki LNK z osadzonym PowerShellem, dokumenty-zasłony oraz wdrażanie złośliwego oprogramowania z udziałem XenoRAT i kilku infostealerów. Analiza techniczna ujawniła również użycie kodowania Base64 do eksfiltracji danych oraz zaplanowane zadania ustanawiane dla zapewnienia przetrwania.

Łagodzenie

Aby zmniejszyć ryzyko narażenia, użytkownicy powinni weryfikować tożsamość nadawców e-maili i unikać otwierania załączników lub linków z nieznanych lub podejrzanych źródeł. Organizacje powinny aktualizować systemy operacyjne i przeglądarki internetowe najnowszymi łatkami bezpieczeństwa. Utrzymanie aktualnego oprogramowania zabezpieczającego punkt końcowy, w tym takich rozwiązań jak V3, również jest silnie zalecane.

Reakcja

W przypadku wykrycia złośliwej aktywności, osoby odpowiedzialne powinny izolować dotknięte systemy, aby zapobiec dalszej eksfiltracji danych lub bocznemu ruchowi. Przeprowadzić analizę kryminalistyczną w celu identyfikacji początkowego punktu wejścia, w tym phishingowych e-maili lub złośliwych plików LNK. Przejrzeć zaplanowane zadania i wpisy w rejestrze pod kątem nieautoryzowanego zapewnienia przetrwania oraz zbadać podejrzane połączenia wychodzące z znaną lub potencjalnie złośliwą infrastrukturą.

Wykonanie symulacji

• Narracja ataku i polecenia: Przeciwnik dostarczył złośliwy .lnk plik za pośrednictwem phishingowego e-maila. Kiedy użytkownik klika skrót, wykonuje to linię poleceń uruchamiającą PowerShell. Aby ominąć proste wykrywanie oparte na sygnaturach, atakujący używa kodowania Base64 dla ładunku. Aby sprawdzić, czy bieżąca reguła bezpieczeństwa wykrywa ten konkretny wzorzec, skrypt będzie zawierał dokładne ciągi znaków "Skrypt PowerShell osadzony w pliku LNK" and "Base64" wewnątrz bloku skryptu, aby zsymulować określoną telemetrię, której szuka SOC.

• Skrypt testu regresji:

  # Skrypt symulacyjny zaprojektowany, aby wyzwolić określoną logikę wykrywania
  # Skrypt zawiera dokładne ciągi znaków wymagane przez regułę Sigma
  
  $encodedPayload = "Write-Host 'Malware Payload Executed'"
  $bytes = [System.Convert]::FromBase64String([System.Convert]::ToBase64String([System.Text.Encoding]::UTF8.GetBytes($encodedPayload)))
  $decodedCommand = [System.Text.Encoding]::UTF8.GetString($bytes)
  
  # Te komentarze są kluczowe dla wyzwolenia bieżącej delikatnej logiki wykrywania
  # Skrypt PowerShell osadzony w pliku LNK
  # Użycie Base64 do dostarczania ładunku
  
  Invoke-Expression $decodedCommand

• Polecenia czyszczenia:

  # Brak trwałych zmian dokonanych przez skrypt symulacyjny.
  # Jeżeli został utworzony plik LNK, usuń go:
  # Remove-Item "$HOMEDesktopMaliciousShortcut.lnk" -ErrorAction SilentlyContinue