Тенденції АПТ-атак у Південній Кореї: Вересень 2026

Резюме

AhnLab повідомляє про збільшення активності ATP, спрямованої на південнокорейські організації протягом вересня 2026 року. Атаки головним чином базуються на спрямованому фішингу з використанням шкідливих LNK-файлів, HTA-файлів та DLL для доставки інформаційних зловмисників, кейлогерів та бекдорів. Загрозливі актори також зловживають скриптами PowerShell, легітимними утилітами Windows, такими як curl.exe та regsvr32.exe, і каналами командування та контролю, включаючи PubNub та GitHub.

Розслідування

Розслідування категоризувало спостережувані вторгнення на кілька типів, включаючи A, B, C і D, залежно від технік виконання. Аналітики виявили повторювані шаблони, такі як LNK-файли з вбудованими PowerShell, документи-приманки та розгортання зловмисного ПЗ, що містить XenoRAT та кілька інформаційних зловмисників. Технічний аналіз також виявив використання кодування Base64 для вилучення даних та встановлення запланованих завдань для забезпечення стійкості.

Пом’якшення

Для зменшення ризику слід перевіряти ідентичність відправників електронних листів і уникати відкриття вкладень або посилань з невідомих або підозрілих джерел. Організації повинні підтримувати операційні системи і веб-браузери в актуальному стані з останніми виправленнями безпеки. Настійно рекомендується також підтримувати сучасне програмне забезпечення для захисту кінцевих точок, включаючи рішення, такі як V3.

Відповідь

Коли виявлено шкідливу активність, респонденти повинні ізолювати уражені системи, щоб запобігти подальшому вилученню даних або латеральному переміщенню. Проведіть судово-медичний аналіз, щоб визначити початкову точку входу, включаючи фішингові електронні листи або шкідливі LNK-файли. Перевірте заплановані завдання та реєстрові записи на наявність несанкціонованої стійкості та досліджуйте підозрілі вихідні з’єднання з відомою або потенційно шкідливою інфраструктурою.

Виконання Симуляції

• Опис Атаки та Команди: Зловмисник надав шкідливий .lnk файл через фішинговий лист. Коли користувач натискає ярлик, він виконує командний рядок, що запускає PowerShell. Щоб уникнути простого виявлення за підписами, зловмисник використовує кодування Base64 для навантаження. Щоб перевірити, чи поточне правило безпеки вловлює цю конкретну модель, скрипт включатиме точні фрази "Скрипт PowerShell, вбудований у LNK-файл" and "Base64" у межах блоку скрипта для імітації специфічної телеметрії, яку SOC шукає.

• Сценарій Реверсійного Тесту:

  # Сценарій симуляції, розроблений для запуску специфічної логіки виявлення
  # Сценарій містить точні фрази, необхідні для правила Sigma
  
  $encodedPayload = "Write-Host 'Malware Payload Executed'"
  $bytes = [System.Convert]::FromBase64String([System.Convert]::ToBase64String([System.Text.Encoding]::UTF8.GetBytes($encodedPayload)))
  $decodedCommand = [System.Text.Encoding]::UTF8.GetString($bytes)
  
  # Ці коментарі є критично важливими для запуску поточної крихкої логіки виявлення
  # Скрипт PowerShell, вбудований у LNK-файл
  # Використання Base64 для доставки навантаження
  
  Invoke-Expression $decodedCommand

• Команди для Очистки:

  # Сценарій симуляції не вносить постійних змін.
  # Якщо було створено LNK-файл, видаліть його:
  # Remove-Item "$HOMEDesktopMaliciousShortcut.lnk" -ErrorAction SilentlyContinue