Seguir A detecção de Kimsuky depende de reconhecer a metodologia do grupo na sua própria telemetria, não apenas em corresponder a um hash. Kimsuky é um grupo APT da Coreia do Norte, e uma de suas campanhas publicadas imita diplomatas para entregar arquivos LNK e carregadores PowerShell. Essas técnicas deixam rastros em registros de segurança comuns do Windows: hosts de script iniciados a partir de pastas graváveis pelo usuário, PowerShell oculto, novos serviços e tarefas agendadas, e mudanças silenciosas de contas.
Este artigo aborda a detecção de Kimsuky usando uma amostra de log analisada no LogTotal, uma ferramenta de análise de logs que compara eventos com ameaças conhecidas. Abaixo, descrevemos de onde vieram os logs, o que o LogTotal sinalizou, quais descobertas se confirmam contra os eventos brutos, e qual deve ser a resposta.
Análise de Kimsuky
A metodologia nesta amostra é mais clara quando comparada ao histórico do grupo e às suas campanhas recentes, então começamos por aí antes de passar para os logs.
Quem é Kimsuky
Kimsuky é um grupo APT patrocinado pelo estado norte-coreano focado na coleta de inteligência. O MITRE ATT&CK o rastreia como G0094, e os vendedores também o chamam de APT43, Velvet Chollima, Black Banshee, THALLIUM, Emerald Sleet, TA427 e Springtail. Acredita-se que sua atividade esteja alinhada com o Gabinete Geral de Reconhecimento da Coreia do Norte.
A CISA avalia que o grupo provavelmente opera desde 2012. O primeiro relatório público detalhado foi ‘The Kimsuky Operation’ da Kaspersky em 2013, e o nome vem de uma referência interna de código encontrada por pesquisadores da Kaspersky.
A maioria das operações de Kimsuky atinge a Coreia do Sul, com outras alcançando os Estados Unidos, Japão, Europa e Rússia. Além de alvos de governo e políticas, as vítimas incluem acadêmicos e o setor de criptomoedas. O spear-phishing é o ponto de entrada mais observado.
Atividade de Kimsuky em 2026
| Período (2026) | Campanha | Metodologia |
| Outubro | Expansão da Operação GitPower (Genians) | Instaladores falsos do Zoom e arquivos LNK com tema de PDF contra diplomatas e especialistas em segurança ucranianos; PowerShell oculto; persistência de tarefa agendada |
| Em andamento | Operação GitPower | Arquivos ZIP com arquivos LNK se passando por documentos, incluindo correspondência de embaixada; PowerShell ofuscado; GitHub para preparação e C2 |
| Março–Abril | Variante HTTPSpy (ENKI) | Páginas enganadoras de instaladores de software de segurança e uma página falsa da Cisco Webex contra alvos militares e corporativos sul-coreanos |
| 2025 a início de 2026 | Comprometimento de fornecedor de software (ENKI WhiteHat) | Violaram fornecedores de software de colaboração sul-coreanos e, em seguida, os seus clientes |
A amostra analisada aqui data de 21 de setembro de 2026, dentro deste período. Seu LNK com aparência de PDF e preenchido por pontos, PowerShell oculto, e tarefa agendada acionada por login correspondem de perto a essas campanhas.
A amostra de log
A amostra é um único arquivo, Kimsuky.jsonl, com 3.087 eventos de um controlador de domínio. Mostra a metodologia no estilo Kimsuky executada contra um DC em uma emulação controlada, tornando-se uma referência útil para como essa atividade aparece na telemetria nativa de auditoria do Windows.
Fonte e coleta de logs
| Atributo | Valor |
| Arquivo | Kimsuky.jsonl |
| Eventos | 3.087 |
| Host | srv-ad-001.7logs.xyz, um controlador de domínio no domínio 7logs |
| Janela de tempo | 21 de setembro de 2026, 15:02:41 a 15:05:58 UTC (pouco mais de três minutos) |
| Formato | Estrutura EVTX nativa em JSON (Evento → Sistema / EventData, atributos XML sob #attributes) |
O layout JSON aponta para uma conversão de EVTX para JSON em vez de uma exportação normalizada por SIEM.
O que os eventos contêm
A maioria dos eventos é de auditoria de objetos e handles (4658, 4656, 4663, 4690), ajustes de direitos de tokens (4703), e acesso a compartilhamento de arquivos (5145). Estes são de alto volume e, na maioria, ruído de fundo.
Os eventos relevantes para detecção são bem menos:
- 49 criações de processos (4688) com linhas de comando completas
- Gerenciamento de contas e grupos (4720–4738)
- Instalação de serviço (4697)
- Ciclo de vida da tarefa agendada: criada, atualizada, deletada (4698, 4702, 4699)
- Mudanças em objetos do Active Directory (5136)
- Mudanças na política de auditoria (4719)
Contexto do ataque: uma emulação, não uma intrusão ao vivo
A atividade é claramente uma emulação da metodologia de Kimsuky. Cada comando do atacante tem powershell_ise.exe como processo pai. Os objetos possuem nomes de teste como OrbitalTestSvc, adminuserz, e a senha !BackdoorPass1. No final, o operador remove o serviço, a tarefa, o usuário e o grupo.
As técnicas em si espelham uma campanha publicada de Kimsuky na qual o grupo imita diplomatas e entrega arquivos LNK e carregadores PowerShell. É por isso que a telemetria é valiosa: os comportamentos são reais mesmo que o operador não seja.
Detectar Kimsuky
O LogTotal processou todas as 3.087 linhas em 16,4 segundos e coincidiram 73 regras contra 105 linhas. Agrupou essas correspondências em 9 cadeias de ataque em um host, relatou 8, e filtrou 1 na etapa de verificação por IA.
| Campo de Veredito | Resultado |
| Veredito | Suspeito, precisa de investigação |
| Gravidade | Crítico |
| Confiança | Médio |
Como as regras do LogTotal se correlacionam com as evidências de Kimsuky
| Regra acionada | Evidência bruta |
| Execução suspeita a partir do perfil de usuário público; Execução do interpretador de scripts de pasta suspeita | LNK se passando por PDF com nome preenchido por pontos (vvn.31.Pdf……Lnk); wscript.exe executando DefenderUpdate.Js de C:UsersPublicDownloads |
| A possibilidade de execução por linhas de comando PowerShell ocultas | powershell.exe -ExecutionPolicy Bypass -WindowStyle Hidden -File …capture.Ps1 |
| Comportamento suspeito de evasão de defesa do LOLBAS MSHTA | mshta.exe executando %TEMP%D.21_SEOUL.hta |
| Processos do sistema executados de caminhos atípicos | Smss.Exe falso sob PublicDownloadssystem32 |
| Manipulação suspeita de contas padrão via Net.EXE; Reg adição de caminhos suspeitos | net user administrator /active:yes; Administrador oculto via WinlogonSpecialAccountsUserList |
| Scripts PowerShell instalados como serviços; uso explícito de COMSPEC no caminho do arquivo de serviço | Serviço OrbitalTestSvc lançando PowerShell oculto |
| Tarefa agendada suspeita (via auditoria) | Tarefa acionada por login OrbitalHealthCheck executando svc_update.ps1 oculto |
| Criação suspeita de usuário local ‘Admin’ com comando Net; Usuário adicionado a um grupo via linha de comando | adminuserz criado e adicionado ao novo grupo admingroupz |
| Log de eventos limpo (nativo); Log de segurança limpo | Evento 1102 por Administrador às 15:02:41 UTC |
IOCs e artefatos de Kimsuky desta amostra
Os artefatos abaixo vêm de uma emulação, então os nomes em si não se repetirão em ampla. Os padrões por trás deles são o que deve ser buscado.
| Artefato | Tipo | Padrão a caçar |
| vvn.31.Pdf……Lnk | Isca LNK | Arquivos de atalho se passando por documentos com nomes preenchidos por pontos |
| C:UsersPublicDownloadsDefenderUpdate.Js | JScript executado por wscript.exe | Hosts de script lançados de pastas graváveis pelo usuário |
| capture.Ps1 | Script PowerShell | -ExecutionPolicy Bypass -WindowStyle Hidden |
| %TEMP%D.21_SEOUL.hta | HTA executado por mshta.exe | MSHTA executando arquivos do %TEMP% |
| PublicDownloadssystem32smss.Exe | Binário de mascaramento | Nomes de processos do sistema fora do System32 |
| OrbitalTestSvc | Serviço (4697) | Serviços que lançam PowerShell oculto via COMSPEC |
| OrbitalHealthCheck → svc_update.ps1 | Tarefa agendada (4698) | Tarefas acionadas por login executando scripts ocultos |
| adminuserz, admingroupz, !BackdoorPass1 | Conta, grupo, senha | Novas contas e grupos locais similares a administradores criados via net.exe |
| WinlogonSpecialAccountsUserList | Valor de registro | Contas ocultas da tela de login |
| Evento 1102 | Limpando log | Log de segurança limpo antes da atividade |
Mitigação de Kimsuky
Contenha o controlador de domínio primeiro, depois reconstrua a confiança em suas contas e registro de logs. O plano de resposta do LogTotal cobre o essencial; como o alvo é um DC, o escopo precisa se ampliar para o domínio.
Resposta recomendada do LogTotal
- Isole o host.
- Imagem de memória e disco.
- Verifique e remova a tarefa agendada OrbitalHealthCheck.
- Verifique e restaure a política de auditoria.
- Habilite o registro de Bloco de Scripts PowerShell e a telemetria AMSI.
- Aplique a lista de permissões para WScript, CScript e PowerShell.
Passos adicionais para um controlador de domínio
- Inicie a linha do tempo no evento 1102. O log de segurança foi limpo às 15:02:41 UTC, portanto qualquer coisa antes disso deve vir de outras fontes.
- Colete e execute hash de tudo em C:UsersPublicDownloads e %TEMP%, incluindo o LNK, JScript, PowerShell, HTA, e falso smss.Exe.
- Confirme a limpeza. Verifique se OrbitalTestSvc, adminuserz, e admingroupz foram removidos, e reverta o valor do WinlogonSpecialAccountsUserList que oculta o Administrador.
- Redefina as credenciais. Redefina a senha do Administrador e planeje uma dupla redefinição de krbtgt.
- Procure em todo o domínio por nomes de arquivos LNK preenchidos por pontos e por hosts de script (wscript.exe, cscript.exe, mshta.exe, powershell.exe) lançados de pastas graváveis pelo usuário.
Endurecimento contra a metodologia estilo Kimsuky
Os mesmos controles que capturam esta amostra reduzem a exposição em todo o domínio. Mantenha a criação de processos 4688 com linhas de comando habilitadas, pois os 49 eventos de processos carregaram a maior parte das evidências. Alerta sobre instalações de serviços 4697 e criações de tarefas 4698 que lançam PowerShell oculto. Trate qualquer evento 1102 em um DC como um gatilho de incidente.
FAQ
O que é o Kimsuky e como ele opera?
Kimsuky é um grupo de espionagem patrocinado pelo estado norte-coreano, rastreado pelo MITRE ATT&CK como G0094 e também conhecido como APT43, Velvet Chollima, e Emerald Sleet. Ele normalmente entra através de spear-phishing dirigido, em seguida usa arquivos LNK, scripts, e PowerShell para instalar backdoors e persistência para coleta de inteligência a longo prazo. A seção de análise acima tem o perfil completo.
Quando Kimsuky foi descoberto pela primeira vez?
A CISA avalia que Kimsuky provavelmente opera desde 2012. O primeiro relatório público detalhado foi ‘The Kimsuky Operation’ da Kaspersky em 2013, e o nome do grupo vem de uma referência interna de código encontrada por pesquisadores da Kaspersky.
Qual é o impacto de uma intrusão de Kimsuky?
Kimsuky busca acesso a longo prazo para coleta de inteligência, incluindo roubo de credenciais, e algumas de suas operações também têm como alvo o setor de criptomoedas. Ele usou fornecedores de software comprometidos para alcançar seus clientes, como em sua campanha de software em grupo de 2025 até início de 2026. Em um controlador de domínio, como nesta amostra, um invasor pode criar e ocultar contas de administrador e persistir em todo o domínio.
Kimsuky ainda pode me afetar em 2026?
Sim. Kimsuky realizou várias campanhas em 2026, incluindo a operação GitPower e uma onda HTTPSpy contra alvos militares sul-coreanos. Eles usam as mesmas iscas LNK, PowerShell oculto, e persistência de tarefa agendada vistas nesta amostra. A seção de análise lista as campanhas de 2026.
Como posso me proteger do Kimsuky?
Coloque na lista de permissões ou restrinja WScript, CScript, e PowerShell, habilite o registro de Bloco de Scripts e a telemetria AMSI, e alerte sobre hosts de script rodando de pastas graváveis pelo usuário. Monitore novos serviços e tarefas agendadas que lançam PowerShell oculto, e trate a limpeza de logs de auditoria em um DC como um incidente.
Como posso detectar Kimsuky?
Colete eventos de Segurança do Windows com linhas de comando de processo (4688), instalações de serviço (4697), eventos de tarefa agendada (4698, 4702, 4699), mudanças de conta e grupo (4720–4738), mudanças no AD (5136), e limpeza de log (1102). Execute a exportação pelo LogTotal para compará-la com campanhas conhecidas de Kimsuky, depois confirme cada achado contra os eventos brutos.
