Campanhas ligadas ao Kimsuky destacam táticas evolutivas de distribuição de ransomware

Resumo

O grupo Kimsuky evoluiu suas táticas usando documentos maliciosos Hangul (HWP) disfarçados como currículos para distribuir o ransomware Funhouse. O ataque em múltiplas etapas depende de objetos OLE incorporados que lançam scripts para implantar o Quasar RAT, que então instala a carga útil de ransomware. A campanha representa uma mudança da entrega baseada em LNK anteriormente observada para um acesso inicial baseado em documentos.

Investigação

O Centro de Inteligência de Segurança da AhnLab analisou a cadeia de infecção e descobriu que o comprometimento inicial começa com um arquivo HWP malicioso. Os pesquisadores observaram a execução sequencial de scripts Batch, VBS e PowerShell, seguidos por um backdoor baseado em Python e Quasar RAT. A análise dos arquivos de configuração do Quasar RAT também revelou padrões de mutex recorrentes e características de comunicação C2 compartilhadas em várias campanhas.

Mitigação

Os usuários devem ter cautela ao abrir documentos não solicitados, especialmente currículos, e verificar a legitimidade dos links incorporados antes de interagir com eles. As organizações devem aplicar as últimas atualizações de segurança para o software Hangul e sistemas operacionais. Manter as soluções de segurança de endpoint, como o V3, atualizadas também é importante para detectar essas técnicas de execução em múltiplas etapas.

Resposta

Quando uma atividade maliciosa é detectada, isole os endpoints afetados para impedir o movimento lateral e a fase de criptografia do ransomware Funhouse. Realize uma revisão forense do diretório %TEMP% em busca de arquivos .exe, .manifest e .bat suspeitos. Monitore arquivos de configuração não autorizados do Quasar RAT com a extensão .dwg e padrões de mutex associados à atividade do grupo.

Execução de Simulação

• Narrativa do Ataque & Comandos: Um adversário inicia uma campanha de spear-phishing usando um documento do processador de texto Hangul chamado currículo.Hwp. Ao abrir, objetos OLE incorporados acionam o download e execução de uma carga útil em etapas. Para simular o acionador de detecção específica, simularemos a execução do QuasarRAT.exe binário onde a linha de comando referencia explicitamente o arquivo acionador currículo.Hwp. Isso imita a tática do grupo Kimsuky de usar acionadores baseados em documentos para lançar seu RAT.

• Script de Teste de Regressão:

  # Script de Simulação: Gatilho de Distribuição Funhouse do Kimsuky
  # Este script cria um binário fictício e o executa com a linha de comando específica necessária para acionar a regra.
  
  $DummyExe = "$env:TEMPQuasarRAT.exe"
  $TriggerFile = "currículo.Hwp"
  
  # 1. Criar um executável fictício para simular o RAT
  New-Item -Path $DummyExe -ItemType File -Force
  # Usamos um simples 'echo' para torná-lo um 'executável' para fins de telemetria de criação de processos
  Set-Content -Path $DummyExe -Value "Este é um binário fictício para teste de detecção."
  
  # 2. Executar o binário fictício com o padrão de linha de comando específico definido na regra Sigma
  # A regra procura por 'QuasarRAT.exe' E 'currículo.Hwp' na linha de comando
  Start-Process -FilePath $DummyExe -ArgumentList "/run /target $TriggerFile" -WindowStyle Hidden
  
  Write-Host "Simulação concluída. Verifique o SIEM para detecção de QuasarRAT.exe com linha de comando contendo $TriggerFile"

• Comandos de Limpeza:

  # Script de Limpeza
  Remove-Item -Path "$env:TEMPQuasarRAT.exe" -Force -ErrorAction SilentlyContinue
  Write-Host "Limpeza concluída."