Kimsuky相关活动突显不断演变的勒索软件分发策略

总结

Kimsuky 组织通过使用伪装成简历的恶意 Hangul (HWP) 文件来分发 Funhouse 勒索软件，从而发展了其战术。这个多阶段攻击依赖于嵌入的 OLE 对象，这些对象会启动脚本以部署 Quasar RAT，然后再安装勒索软件负载。此次活动代表了一种从先前观察到的基于 LNK 的传递到基于文档的初始访问的转换。

调查

AhnLab 安全情报中心分析了感染链，发现初始妥协始于一个恶意的 HWP 文件。研究人员观察到了 Batch、VBS 和 PowerShell 脚本按序执行，随后是基于 Python 的后门程序和 Quasar RAT。Quasar RAT 配置文件的分析还揭示了多次活动中共享的重复互斥模式和 C2 通信特征。

缓解措施

用户在打开未经请求的文档时应谨慎，尤其是简历，并在与嵌入的链接互动前验证其合法性。组织应对 Hangul 软件和操作系统应用最新的安全更新。保持 V3 等终端安全解决方案的最新也对于检测这些多阶段执行技术至关重要。

响应

当检测到恶意活动时，隔离受影响的终端以防止横向移动和 Funhouse 勒索软件的加密阶段。在 %TEMP% 目录中对可疑的 .exe、.manifest 和 .bat 文件进行法证审查。监控以 .dwg 扩展名和与该组织活动相关的互斥模式的未经授权的 Quasar RAT 配置文件。

模拟执行

• 攻击叙述和命令： 攻击者发起了一项鱼叉式网络钓鱼活动，使用了一个名为 resume.Hwp的 Hangul 文档。打开后，嵌入的 OLE 对象会触发负载的下载和执行。为了模拟特定检测触发器，我们将模拟 QuasarRAT.exe 二进制文件的执行，其中命令行明确引用了触发文件 resume.Hwp。这模仿了 Kimsuky 组织使用基于文档的触发器来启动他们的 RAT 的策略。

• 回归测试脚本：

  # 模拟脚本：Kimsuky Funhouse 分发触发
  # 此脚本创建一个虚拟二进制文件，并使用触发规则所需的特定命令行执行它。
  
  $DummyExe = "$env:TEMPQuasarRAT.exe"
  $TriggerFile = "resume.Hwp"
  
  # 1. 创建一个虚拟可执行文件以模拟 RAT
  New-Item -Path $DummyExe -ItemType File -Force
  # 我们使用简单的 'echo' 来使其成为'可执行文件' 以获取进程创建遥测数据
  Set-Content -Path $DummyExe -Value "这是一个用于检测测试的虚拟二进制文件。"
  
  # 2. 使用 Sigma 规则中定义的特定命令行模式执行虚拟二进制文件
  # 规则在命令行中查找 'QuasarRAT.exe' 和 'resume.Hwp'
  Start-Process -FilePath $DummyExe -ArgumentList "/run /target $TriggerFile" -WindowStyle Hidden
  
  Write-Host "模拟完成。检查 SIEM 是否检测到命令行包含 $TriggerFile 的 QuasarRAT.exe"

• 清理命令：

  # 清理脚本
  Remove-Item -Path "$env:TEMPQuasarRAT.exe" -Force -ErrorAction SilentlyContinue
  Write-Host "清理完成。"