Śledź Wykrywanie Kimsuky zależy od rozpoznania rzemiosła grupy w swojej własnej telemetrii, a nie tylko od dopasowania hasha. Kimsuky to grupa APT z Korei Północnej, a jedna z jej opublikowanych kampanii udaje dyplomatów, aby dostarczyć pliki LNK i droppery PowerShell. Te techniki pozostawiają ślady w zwykłych dziennikach zabezpieczeń systemu Windows: skrypty uruchamiane z folderów zapisywalnych przez użytkownika, ukryty PowerShell, nowe usługi i zaplanowane zadania oraz ciche zmiany konta.
Ten artykuł dotyczy wykrywania Kimsuky za pomocą próbki logów analizowanej w LogTotal, narzędziu do analizy logów, które dopasowuje zdarzenia do znanych zagrożeń. Poniżej opisujemy, skąd pochodziły logi, co oznaczało LogTotal, które ustalenia są zgodne z surowymi zdarzeniami i jaka powinna być reakcja.
Analiza Kimsuky
Rzemiosło w tej próbce jest bardziej przejrzyste na tle grupy i jej ostatnich kampanii, więc zaczynamy od tego, zanim przejdziemy do logów.
Kim jest Kimsuky
Kimsuky to sponsorowana przez Koreę Północną grupa APT skupiona na zbieraniu informacji. Na MITRE ATT&CK jest śledzona jako G0094, a dostawcy nazywają ją również APT43, Velvet Chollima, Black Banshee, THALLIUM, Emerald Sleet, TA427 i Springtail. Uważa się, że jej działalność jest zgodna z Biurem Rozpoznania Generalnego Korei Północnej.
CISA ocenia, że grupa prawdopodobnie działa od 2012 roku. Pierwszy szczegółowy raport publiczny to „The Kimsuky Operation” Kaspersky’ego z 2013 roku, a nazwa pochodzi od wewnętrznego odniesienia do kodu, które znaleźli badacze Kaspersky.
Większość operacji Kimsuky jest skierowana na Koreę Południową, a inne docierają do Stanów Zjednoczonych, Japonii, Europy i Rosji. Poza celami rządowymi i politycznymi, ofiarami są również akademicy i sektor kryptowalutowy. Speer-phishing to najczęściej obserwowany punkt wejścia.
Działania Kimsuky w 2026
| Okres (2026) | Kampania | Rzemiosło |
| Październik | Ekspansja Operacji GitPower (Genians) | Fałszywe instalatory Zoom i pliki LNK o tematyce PDF przeciwko ukraińskim dyplomatom i ekspertom ds. bezpieczeństwa; ukryty PowerShell; trwałość dzięki zaplanowanym zadaniom |
| Trwająca | Operacja GitPower | Archiwa ZIP z plikami LNK udającymi dokumenty, w tym korespondencję ambasady; zatajony PowerShell; GitHub do inscenizacji i C2 |
| Marzec–kwiecień | Wariant HTTPSpy (ENKI) | Podrobione strony instalatorów oprogramowania zabezpieczającego oraz fałszywa strona Cisco Webex przeciwko południowokoreańskim celom wojskowym i korporacyjnym |
| 2025 do początków 2026 | Kompromitacja dostawcy oprogramowania grupowego (ENKI WhiteHat) | Przełamane południowokoreańskie firmy zajmujące się oprogramowaniem do współpracy, a następnie ich klienci |
Analizowana próbka pochodzi z 21 września 2026, w tym okresie. Jej kropkowane, o tematyce PDF LNK, ukryty PowerShell i zaplanowane zadanie wyzwalane logowaniem idealnie pasują do tych kampanii.
Próbka logów
Próbka to pojedynczy plik, Kimsuky.jsonl, z 3 087 zdarzeniami z jednego kontrolera domeny. Pokazuje rzemiosło w stylu Kimsuky wykonywane przeciwko kontrolerowi domen, co czyni go użytecznym odniesieniem dla tego, jak wygląda ta aktywność w natywnej telemetrii audytu Windows.
Źródło logu i zbieranie
| Atrybut | Wartość |
| Plik | Kimsuky.jsonl |
| Zdarzenia | 3 087 |
| Host | srv-ad-001.7logs.xyz, kontroler domeny w domenie 7logs |
| Okno czasowe | 21 września 2026, 15:02:41 do 15:05:58 UTC (nieco ponad trzy minuty) |
| Format | Natywna struktura EVTX w JSON (Zdarzenie → System / Dane zdarzenia, atrybuty XML pod #attributes) |
Układ JSON wskazuje na konwersję EVTX-do-JSON, a nie na eksport znormalizowany przez SIEM.
Co zawierają zdarzenia
Większość zdarzeń to audyty obiektów i uchwytów (4658, 4656, 4663, 4690), regulacje praw tokenowych (4703) oraz dostęp do współdzielenia plików (5145). Są to zdarzenia o dużej ilości i zazwyczaj szum tła.
Zdarzenia istotne dla wykrywania są znacznie rzadsze:
- 49 tworzeń procesów (4688) z pełnymi liniami poleceń
- Zarządzanie kontami i grupami (4720–4738)
- Instalacja serwisów (4697)
- Cykl życia zadania zgodnie z harmonogramem: utworzenie, aktualizacja, usunięcie (4698, 4702, 4699)
- Zmiany obiektów w Active Directory (5136)
- Zmiany polityki audytu (4719)
Kontekst ataku: to symulacja, a nie prawdziwe włamanie
Działalność jest wyraźnie symulacją rzemiosła Kimsuky. Wszystkie polecenia atakującego mają powershell_ise.exe jako proces nadrzędny. Obiekty mają nazwy testowe, takie jak OrbitalTestSvc, adminuserz i hasło !BackdoorPass1. Na koniec operator usuwa serwis, zadanie, użytkownika i grupę.
Same techniki odzwierciedlają opublikowaną kampanię Kimsuky, w której grupa podszywa się pod dyplomatów i dostarcza pliki LNK i droppery PowerShell. Dlatego telemetria jest wartościowa: zachowania są prawdziwe, mimo że operator nie.
Wykrywaj Kimsuky
LogTotal przetworzył wszystkie 3087 linii w 16,4 sekundy i dopasował 73 reguły do 105 linii. Zgrupował te dopasowania w 9 łańcuchów ataków na jednym hoście, zgłosił 8, a 1 przefiltrował na etapie weryfikacji AI.
| Pole verdict | Rezultat |
| Orzeczenie | Podejrzane, potrzeba śledztwa |
| Ważywość | Krytyczna |
| Pewność | Średnia |
Jak reguły LogTotal odnoszą się do surowych dowodów Kimsuky
| Wystrzelona reguła | Surowe dowody |
| Podejrzane Wykonanie z Profilu publicznego Użytkownika; Interpretacja Skryptu Wykonana z Podejrzanego Folderu | LNK udający PDF z nazwą wypełnioną kropkami (vvn.31.Pdf……Lnk); wscript.exe uruchamiający DefenderUpdate.Js z C:UsersPublicDownloads |
| Możliwość Wykonania Poprzez Ukryte Linie Poleceń PowerShell | powershell.exe -ExecutionPolicy Bypass -WindowStyle Hidden -File …capture.Ps1 |
| Podejrzana Obrona z Użyciem MSHTA w Zachowaniu Evasion | mshta.exe uruchamiający %TEMP%D.21_SEOUL.hta |
| System Procesów Wykonawczych z Nietypowych Ścieżek | Fałszywy smss.Exe w PublicDownloadssystem32 |
| Podejrzana Manipulacja Domyślnymi Kontami za Pośrednictwem Net.EXE; Reg Dodaj Podejrzane Ścieżki | net user administrator /active:yes; Administrator ukryty przez WinlogonSpecialAccountsUserList |
| Skrypty PowerShell Instalowane jako Usługi; Jawne Użycie COMSPEC w Ścieżce Pliku Usługi | Usługa OrbitalTestSvc uruchamiająca ukryty PowerShell |
| Podejrzane Zadanie Zgodnie z Harmonogramem (według audytu) | Zadanie wyzwolone logowaniem OrbitalHealthCheck uruchamiające ukryty svc_update.ps1 |
| Podejrzane Utworzenie Lokalnego Użytkownika 'Admin’ Za Pomocą Polecenia Net; Użytkownik Dodany do Grupy Za Pośrednictwem Linii Komend | adminuserz utworzone i dodane do nowej grupy admingroupz |
| Zdarzenia logów wyczyszczone (natywne); Dzienniki Zdarzeń Bezpieczeństwa Wyczyszczone | Zdarzenie 1102 przez Administratora o 15:02:41 UTC |
Kimsuky IOCs i artefakty z tej próbki
Poniższe artefakty pochodzą z symulacji, więc same nazwy nie pojawią się w środowisku naturalnym. Wzorce za nimi to to, czego należy wyszukiwać.
| Artefakt | Rodzaj | Wzorzec do wyszukiwania |
| vvn.31.Pdf……Lnk | LNK wabik | Pliki skrótów udające dokumenty z nazwami wypełnionymi kropkami |
| C:UsersPublicDownloadsDefenderUpdate.Js | JScript uruchamiany przez wscript.exe | Gospodarze skryptów uruchamiani z folderów zapisywalnych przez użytkownika |
| capture.Ps1 | Skrypt PowerShell | -ExecutionPolicy Bypass -WindowStyle Hidden |
| %TEMP%D.21_SEOUL.hta | HTA uruchamiane przez mshta.exe | MSHTA wykonujący pliki z %TEMP% |
| PublicDownloadssystem32smss.Exe | Przebrany binarny | Nazwy procesów systemowych poza System32 |
| OrbitalTestSvc | Usługa (4697) | Usługi, które uruchamiają ukryty PowerShell poprzez COMSPEC |
| OrbitalHealthCheck → svc_update.ps1 | Zadanie zgodnie z harmonogramem (4698) | Zadania wyzwalane logowaniem uruchamiające ukryte skrypty |
| adminuserz, admingroupz, !BackdoorPass1 | Konto, grupa, hasło | Nowe lokalne konta administracyjne i grupy tworzone przez net.exe |
| WinlogonSpecialAccountsUserList | Wartość rejestru | Konta ukryte z ekranu logowania |
| Zdarzenie 1102 | Wyczyszczenie logu | Dziennik zabezpieczeń wyczyszczony przed aktywnością |
Mitigacja Kimsuky
Najpierw odizoluj kontroler domeny, a następnie odbuduj zaufanie do jego kont i logowania. Plan reakcji LogTotal obejmuje podstawowe elementy; ponieważ celem jest DC, zakres jest szerszy niż domena.
Zalecana odpowiedź LogTotal
- Izoluj hosta.
- Zrzut pamięci i dysku.
- Zweryfikuj i usuń zaplanowane zadanie OrbitalHealthCheck.
- Sprawdź i przywróć politykę audytu.
- Włącz Logowanie Bloków Skryptów PowerShell i telemetrię AMSI.
- Zastosuj listy dozwolonych dla WScript, CScript i PowerShell.
Dalsze kroki dla kontrolera domeny
- Rozpocznij oś czasu od wydarzenia 1102. Dziennik zabezpieczeń został wyczyszczony o 15:02:41 UTC, więc wszystko przed nim musi pochodzić z innych źródeł.
- Zbierz i haszy zestaw. wszystko co się znajduje w C:UsersPublicDownloads oraz %TEMP%, w tym LNK, JScript, PowerShell, HTA i fałszywy smss.Exe.
- Potwierdź oczyszczenie. Zweryfikuj, czy OrbitalTestSvc, adminuserz i admingroupz zniknęły, i cofnij wartość WinlogonSpecialAccountsUserList, która ukrywa Administratora.
- Zresetuj dane uwierzytelniające. Zresetuj hasło Administratora i zaplanuj podwójny reset krbtgt.
- Przeprowadź polowanie w całej domenie na nazwy plików LNK wypełnione kropkami oraz na hosty skryptów (wscript.exe, cscript.exe, mshta.exe, powershell.exe) uruchamiane z folderów zapisywalnych przez użytkownika.
Utwardzanie przeciwko rzemiosłu w stylu Kimsuky
Te same środki zaradcze, które łapią tę próbkę, zmniejszają narażenie w całej domenie. Utrzymuj włączone tworzenie procesów 4688 z liniami poleceń, ponieważ 49 zdarzeń procesów zawierało większość dowodów. Alarmuj przy instalacjach serwisów 4697 i tworzeniu zadań 4698 uruchamiających ukryty PowerShell. Traktuj każde zdarzenie 1102 na kontrolerze domeny jako wyzwalacz incydentu.
FAQ
Co to jest Kimsuky i jak działa?
Kimsuky to północnokoreańska grupa szpiegowska sponsorowana przez państwo, śledzona przez MITRE ATT&CK jako G0094 i znana również jako APT43, Velvet Chollima i Emerald Sleet. Zazwyczaj wkrada się przez ukierunkowane spear-phishingi, a następnie używa plików LNK, skryptów i PowerShell do instalacji backdoorów i trwałości dla długoterminowego zbierania informacji. Sekcja analizy powyżej zawiera pełny profil.
Kiedy Kimsuky zostało po raz pierwszy odkryte?
CISA ocenia, że Kimsuky prawdopodobnie działa od 2012 roku. Pierwszy szczegółowy raport publiczny to „The Kimsuky Operation” Kaspersky’ego z 2013 roku, a nazwa grupy pochodzi od wewnętrznego odniesienia do kodu, które znaleźli badacze Kaspersky.
Jaki jest impakt włamania Kimsuky?
Kimsuky dąży do długoterminowego dostępu w celu zbierania informacji, w tym kradzieży poświadczeń, a niektóre z jej operacji również celują w sektor kryptowalutowy. Używa firm z oprogramowaniem zhakowanym, aby dotrzeć do ich klientów, jak w kampanii oprogramowania grupowego z 2025 na początku 2026 roku. Na kontrolerze domeny, jak w tej próbce, atakujący może stworzyć i ukryć konta administracyjne oraz utrzymać się w całej domenie.
Czy Kimsuky wciąż może mnie dotknąć w 2026 roku?
Tak. Kimsuky przeprowadzało kilka kampanii w 2026 roku, w tym Operację GitPower i falę HTTPSpy przeciwko celom wojskowym w Korei Południowej. Używają tych samych podstępnych LNK, ukrytego PowerShell i trwałości zadaniowej z harmonogramu widocznego w tej próbce. Sekcja analizy wymienia kampanie z 2026 roku.
Jak mogę się chronić przed Kimsuky?
Zastosuj listę dozwolonych lub ogranicz WScript, CScript i PowerShell, włącz Logowanie Bloków Skryptów i telemetrię AMSI, i alarmuj na hosty skryptów uruchamiane z folderów zapisywalnych przez użytkownika. Monitoruj nowe usługi i zaplanowane zadania uruchamiające ukryty PowerShell, i traktuj czyszczenie dziennika audytu na kontrolerze domeny jako incydent.
Jak mogę wykryć Kimsuky?
Zbieraj zdarzenia zabezpieczeń systemu Windows z liniami poleceń procesów (4688), instalacje usług (4697), zadania zaplanowane (4698, 4702, 4699), zmiany kont i grup (4720–4738), zmiany AD (5136) oraz czyszczenie logów (1102). Przetłumacz eksport przez LogTotal, aby dopasować go do znanych kampanii Kimsuky, a następnie potwierdź każde ustalenie w stosunku do surowych zdarzeń.
