Стежити Виявлення Kimsuky залежить від розпізнавання тактики групи у вашій власній телеметрії, а не лише від співпадіння хеша. Kimsuky – це північнокорейська група APT, і одна з її публічних кампаній імітує дипломатів для доставки файлів LNK та PowerShell dropper-ів. Ці техніки залишають сліди в звичайних журналах безпеки Windows: господарі скриптів запускаються з папок, доступних для запису користувачем, прихована PowerShell, нові служби і заплановані завдання, а також тихі зміни облікових записів.
Ця стаття охоплює виявлення Kimsuky з використанням зразка журналу, проаналізованого в LogTotal, інструменті аналізу журналів, що співвідносить події з відомими загрозами. Нижче ми описуємо, звідки походять журнали, що відзначив LogTotal, які висновки витримують перевірку на сирих подіях і якою має бути реакція.
Аналіз Kimsuky
Техніка у цьому зразку виглядає більш зрозуміло на тлі групи та її останніх кампаній, тому ми починаємо з цього, перш ніж перейти до журналів.
Хто такі Kimsuky
Kimsuky – це північнокорейська державна група APT, яка зосереджується на зборі розвідувальних даних. MITRE ATT&CK відслідковує її під назвою G0094, а вендори її також називають APT43, Velvet Chollima, Black Banshee, THALLIUM, Emerald Sleet, TA427 та Springtail. Вважається, що її діяльність узгоджується з Північнокорейським Генеральним Розвідувальним Бюро.
CISA оцінює, що група найімовірніше діє з 2012 року. Перший докладний публічний звіт був “Операція Kimsuky” від Kaspersky у 2013 році, і назва походить від внутрішнього кодового посилання, виявленого дослідниками Kaspersky.
Більшість операцій Kimsuky спрямовані на Південну Корею, з іншими, що досягли Сполучених Штатів, Японії, Європи і Росії. Окрім урядових і політичних цілей, жертвами стають вчені і сектор криптовалют. Найбільш спостережуваним методом проникнення є spear-phishing.
Діяльність Kimsuky у 2026 році
| Період (2026) | Кампанія | Техніка |
| Жовтень | Розширення операції GitPower (Genians) | Фальшиві інсталятори Zoom та файли LNK із темою PDF проти українських дипломатичних і безпекових експертів; прихована PowerShell; стійкість запланованих завдань |
| Триває | Операція GitPower | ZIP-архіви з файлами LNK, що видаються за документи, зокрема, дипломатична кореспонденція; обфусцирована PowerShell; GitHub для підготовки та C2 |
| Березень–квітень | Варіант HTTPSpy (ENKI) | Підроблені сторінки інсталяції програмного забезпечення безпеки та підроблена сторінка Cisco Webex проти південнокорейських військових і корпорацій |
| 2025 до початку 2026 | Компрометація постачальника групового програмного забезпечення (ENKI WhiteHat) | Вторгнення у колабораційні постачальники програмного забезпечення в Південній Кореї, потім їх клієнтів |
Зразок, проаналізований тут, датується 21 вересня 2026 року, в межах цього періоду. Його dot-перегороджуваний, з темою PDF LNK, прихована PowerShell і заплановане завдання, що активується при вході, точно відповідають цим кампаніям.
Зразок журналу
Зразок – це єдиний файл, Kimsuky.jsonl, з 3,087 подіями з одного контролера домену. Він показує торгівку Kimsuky, виконану на DC в контрольованій емуляції, що робить його корисним еталоном для того, як ця активність виглядає в нативній телеметрії аудиту Windows.
Джерело журналу та збір
| Атрибут | Значення |
| Файл | Kimsuky.jsonl |
| Події | 3,087 |
| Хост | srv-ad-001.7logs.xyz, контролер домену в домені 7logs |
| Часове вікно | 21 вересня 2026, 15:02:41 до 15:05:58 UTC (більше трьох хвилин) |
| Формат | Нативна структура EVTX в JSON (Подія → Система / ДаніПодії, атрибути XML під #атрибути) |
Макет JSON вказує на конверсію EVTX у JSON, а не на нормалізований експорт SIEM.
Що містять події
Більшість подій – це аудит об’єктів і ручок (4658, 4656, 4663, 4690), налаштування прав токенів (4703) та доступ до загального доступу до файлів (5145). Це високий обсяг і в основному фоновий шум.
Значно менше подій, що мають значення для виявлення:
- 49 створень процесів (4688) з повними командними рядками
- Управління обліковими записами і групами (4720–4738)
- Установка служб (4697)
- Життєвий цикл запланованих завдань: створено, оновлено, видалено (4698, 4702, 4699)
- Зміни об’єктів Active Directory (5136)
- Зміни політики аудиту (4719)
Контекст атаки: емуляція, а не живе вторгнення
Діяльність чітко емуляція тактики Kimsuky. Кожна команда зловмисника має powershell_ise.exe як батьківський процес. Об’єкти мають тестові назви, такі як OrbitalTestSvc, adminuserz і пароль !BackdoorPass1. В кінці оператор видаляє службу, завдання, користувача і групу.
Самі техніки відображають опубліковану кампанію Kimsuky, у якій група імітує дипломатів та доставляє файли LNK і PowerShell dropper-и. Саме тому телеметрія є цінною: поведінка реальна, навіть якщо оператор ні.
Виявлення Kimsuky
LogTotal обробив усі 3,087 рядків за 16,4 секунди і співставив 73 правила з 105 рядками. Він згрупував ці співставлення в 9 ланцюгів атак на одному господарі, повідомив про 8 і відфільтрував 1 на етапі перевірки AI.
| Поле вердикту | Результат |
| Вердикт | Підозріло, потрібно розслідування |
| Серйозність | Критична |
| Впевненість | Середній |
Як правила LogTotal співвідносяться з сирими доказами Kimsuky
| Запущене правило | Сирі докази |
| Підозріла виконання з загальнодоступного профілю користувача; Інтерпретатор скриптів виконується з підозрілого каталогу | LNK, що видається за PDF з dot-розділеною назвою (vvn.31.Pdf……Lnk); wscript.exe виконує DefenderUpdate.Js із C:UsersPublicDownloads |
| Можливість виконання через приховані командні рядки PowerShell | powershell.exe -ExecutionPolicy Bypass -WindowStyle Hidden -File …capture.Ps1 |
| Поведінка обходу оборони підозрілим LOLBAS MSHTA | mshta.exe виконує %TEMP%D.21_SEOUL.hta |
| Системні процеси, що виконуються з нетипових шляхів | Підроблений smss.Exe у PublicDownloadssystem32 |
| Підозріла маніпуляція з обліковими записами за замовчуванням через Net.EXE; Reg Add підозрілі шляхи | net user administrator /active:yes; Адміністратор прихований через WinlogonSpecialAccountsUserList |
| Сценарії PowerShell, встановлені як служби; Явне використання COMSPEC у шляху файлу сервісу | Сервіс OrbitalTestSvc запускає приховану PowerShell |
| Підозріле заплановане завдання (через аудит) | Заплановане завдання, ініційоване входом OrbitalHealthCheck запускає svc_update.ps1 приховано |
| Підозріле створення місцевого користувача ‘Адмін’ з командою Net; Користувача додано в групу через командний рядок | adminuserz створено та додано до нової групи admingroupz |
| Журнал подій очищено (нативний); Журнал безпеки очищено | Подія 1102 від Адміністратора о 15:02:41 UTC |
Kimsuky ІОС і артефакти з цього зразка
Артефакти нижче походять з емуляції, тому самі назви не повторяться в дикій природі. Шаблони за ними – ось що слід відстежувати.
| Артефакт | Тип | Шаблон для полювання |
| vvn.31.Pdf……Lnk | Зроблена приманкою LNK | Файли ярликів, що видаються за документи з точково-розділеними назвами |
| C:UsersPublicDownloadsDefenderUpdate.Js | JScript, виконаний wscript.exe | Скрипт-господарі запускаються з підкаталогів користувача |
| capture.Ps1 | Сценарій PowerShell | -ExecutionPolicy Bypass -WindowStyle Hidden |
| %TEMP%D.21_SEOUL.hta | HTA, виконаний mshta.exe | MSHTA виконує файли з %TEMP% |
| PublicDownloadssystem32smss.Exe | Фальсифікована двійкова програма | Імена системних процесів поза системним системним |
| OrbitalTestSvc | Служба (4697) | Служби, що запускають приховану PowerShell через COMSPEC |
| OrbitalHealthCheck → svc_update.ps1 | Заплановане завдання (4698) | Заплановані завдання, що запускають приховані скрипти при вході в систему |
| adminuserz, admingroupz, !BackdoorPass1 | Обліковий запис, група, пароль | Нові локальні облікові записи та групи, створені через net.exe, схожі на адміністраторські |
| WinlogonSpecialAccountsUserList | Значення реєстру | Облікові записи, приховані з екрана входу |
| Подія 1102 | Очищення журналу | Журнал безпеки очищено перед активністю |
Пом’якшення наслідків Kimsuky
Спочатку ізолюйте контролер домену, потім відновіть довіру до його облікових записів і ведення журналу. План реагування LogTotal охоплює основні аспекти, але оскільки мішенню є DC, обсяг повинен розширитися до домену.
Рекомендована відповідь LogTotal
- Ізолюйте хоста.
- Зробіть імідж пам’яті та диска.
- Перевірте та видаліть заплановане завдання OrbitalHealthCheck.
- Перевірте та відновіть політику аудиту.
- Увімкніть блокування сценаріїв PowerShell та телеметрію AMSI.
- Застосуйте білінг для WScript, CScript і PowerShell.
Додаткові кроки для контролера домену
- Почніть хронологію з події 1102. Журнал безпеки було очищено о 15:02:41 UTC, тому все, що передує йому, має бути з інших джерел.
- Зберіть і хешируйте все у C:UsersPublicDownloads і %TEMP%, включаючи LNK, JScript, PowerShell, HTA і псевдо smss.Exe.
- Підтвердьте очищення. Перевірте, що OrbitalTestSvc, adminuserz та admingroupz видалено, і поверніть значення WinlogonSpecialAccountsUserList, яке приховує Адміністратора.
- Скиньте облікові дані. Скиньте пароль Адміністратора і плануйте подвійне скидання krbtgt.
- Досліджуйте по всьому домену щодо імен файлів LNK з точковим розширенням та для господарів сценаріїв (wscript.exe, cscript.exe, mshta.exe, powershell.exe), запущених з папок, доступних для запису.
Посилення проти тактики в стилі Kimsuky
Ті самі заходи контролю, які ловлять цей зразок, зменшують експозицію в усій домені. Залишайте 4688 створення процесу з командними рядками увімкненим, оскільки 49 процесів подій містили більшість доказів. Сповіщайте про 4697 встановлення служби та 4698 створення завдань, які запускають приховану PowerShell. Вважайте будь-яку подію 1102 на DC тригером інциденту.
FAQ
Що таке Kimsuky і як вона діє?
Kimsuky – це північнокорейська державна шпигунська група, яка слідкується MITRE ATT&CK під назвою G0094 та також відома як APT43, Velvet Chollima та Emerald Sleet. Зазвичай вона проникає через специфічний spear-phishing, потім використовує файли LNK, скрипти та PowerShell для встановлення бекдорів і стійкостей для довготривалого збору розвідки. Розділ аналізу вище має повний профіль.
Коли Kimsuky була вперше виявлена?
CISA оцінює, що Kimsuky найімовірніше діє з 2012 року. Перший докладний публічний звіт був “Операція Kimsuky” від Kaspersky у 2013 році, і назва групи походить від внутрішнього кодового посилання, виявленого дослідниками Kaspersky.
Який вплив має інвазія Kimsuky?
Kimsuky прагне до довготривалого доступу для розвідувального збору, включаючи крадіжки облікових даних, і деякі з її операцій також націлені на сектор криптовалют. Вона використовувала зломаних постачальників програмного забезпечення, щоб дістатися до їх клієнтів, як у кампанії 2025 до початку 2026 року з групового програмного забезпечення. На контролері домену, як у цьому зразку, зловмисник може створювати і приховувати облікові записи адміністратора та зберігати активність у всьому домені.
Чи може Kimsuky все ще впливати на мене в 2026 році?
Так. Kimsuky провела кілька кампаній у 2026 році, включаючи операцію GitPower та хвилю HTTPSpy проти південнокорейських військових цілей. Вони використовують ті ж ЛНК-приманки, приховану PowerShell і стійкість запланованих завдань, що спостерігаються в цьому зразку. Розділ аналізу наводить кампанії 2026 року.
Як я можу захиститися від Kimsuky?
Використовуйте білінг або обмежте WScript, CScript та PowerShell, увімкніть блокування сценаріїв та телеметрію AMSI, та сповіщайте про господарів сценаріїв, що виконуються з каталогів, доступних для запису користувачем. Слідкуйте за новими інсталяціями служб і запланованими завданнями, які запускають приховану PowerShell, і вважайте очищення журналу аудиту на DC інцидентом.
Як можна виявити Kimsuky?
Збирайте події безпеки Windows з командними рядками процесів (4688), установками служб (4697), подіями запланованих завдань (4698, 4702, 4699), змінами облікових записів та груп (4720–4738), змінами AD (5136) та очищенням журналів (1102). Пропустіть експорт через LogTotal, щоб зіставити його з відомими кампаніями Kimsuky, потім підтверджуйте кожне знаходження з сирими подіями.
