关注 Kimsuky 的检测取决于在您的遥测中识别该团体的战术，而不仅仅是匹配哈希。Kimsuky 是一个朝鲜 APT 团体，其已发布的活动之一模拟外交官以投递 LNK 文件和 PowerShell 驱动程序。这些技术在普通的 Windows 安全日志中留下痕迹：从用户可写文件夹启动的脚本主机、隐藏的 PowerShell、新服务和计划任务，以及安静的帐户更改。
本文涉及使用 LogTotal 分析日志样本来检测 Kimsuky，这是一个将事件与已知威胁匹配的日志分析工具。以下是我们描述日志来源的内容，LogTotal 标记的内容，与原始事件相比哪些发现经得起考验，以及应采取的响应措施。
Kimsuky 分析
此样本中的贸易方式在该小组的背景和其最近的活动中更为清晰，因此我们将在转向日志之前从这里开始。
Kimsuky 是谁
Kimsuky 是一个专注于情报收集的朝鲜国家支持的 APT 团体。MITRE ATT&CK 将其记录为 G0094，供应商也称其为 APT43、Velvet Chollima、Black Banshee、THALLIUM、Emerald Sleet、TA427 和 Springtail。其活动被认为与朝鲜的侦察总局一致。
CISA 评估认为该团体很可能自 2012 年开始运作。第一份详细的公开报告是卡巴斯基在 2013 年的 “The Kimsuky Operation”，该名称来自卡巴斯基研究人员发现的内部代码参考。
大多数 Kimsuky 的行动打击韩国，其他则波及美国、日本、欧洲和俄罗斯。除政府和政策目标外，受害者还包括学术界和加密货币行业。其最常观察到的入口点是鱼叉式网络钓鱼。
2026 年 Kimsuky 活动
| 期间（2026） | 活动 | 贸易方式 |
| 十月 | Operation GitPower 扩展（Genians） | 针对乌克兰外交和安全专家的假冒 Zoom 安装程序和 PDF 主题 LNK 文件；隐藏的 PowerShell；计划任务持久性 |
| 正在进行中 | Operation GitPower | 伪装成文档的 LNK 文件的 ZIP 压缩包，包括大使馆信函；混淆的 PowerShell；使用 GitHub 进行分段和 C2 |
| 三月–四月 | HTTPSpy 变体（ENKI） | 针对韩国军事和企业目标的伪装安全软件安装页面和虚假 Cisco Webex 页面 |
| 2025 年至 2026 年初 | 集团软件供应商妥协（ENKI WhiteHat） | 被入侵的韩国协作软件供应商及其客户 |
此处分析的样本日期为 2026 年 9 月 21 日，属于此期间。其点填充的 PDF 主题 LNK、隐藏的 PowerShell 和登录触发的计划任务与这些活动密切匹配。
日志样本
样本是一个名为 Kimsuky.jsonl 的文件，包含来自一个域控制器的 3,087 个事件。它显示了针对 DC 执行的 Kimsuky 风格的交易手段，作为受控仿真的一部分，这使其成为示范此活动在本机 Windows 审核遥测中的表现的有用参考。
日志来源和收集
| 属性 | 值 |
| 文件 | Kimsuky.jsonl |
| 事件 | 3,087 |
| 主机 | srv-ad-001.7logs.xyz，7logs 域中的域控制器 |
| 时间窗口 | 2026 年 9 月 21 日，15:02:41 至 15:05:58 UTC（略超过三分钟） |
| 格式 | 以 JSON 存储的本机 EVTX 结构（事件 → 系统 / 事件数据，XML 属性在 #attributes 下） |
JSON 布局指向 EVTX 到 JSON 的转换，而不是 SIEM 常态化导出。
事件包含的内容
大多数事件是对象和句柄审计（4658、4656、4663、4690），令牌权限调整（4703），和文件共享访问（5145）。这些都是高-volume 的背景噪声。
与检测相关的事件则要少得多：
- 49 个完整命令行的进程创建（4688）
- 帐户和组管理（4720–4738）
- 服务安装（4697）
- 计划任务生命周期：创建、更新、删除（4698、4702、4699）
- 活动目录对象更改（5136）
- 审计策略更改（4719）
攻击上下文：仿真，而不是实时入侵
活动明显是 Kimsuky 贸易手段的模拟。每个攻击者命令的父进程都是 powershell_ise.exe。对象携带测试名称，如 OrbitalTestSvc、adminuserz 和密码 !BackdoorPass1。最后，操作员移除了服务、任务、用户和组。
这些技术本身反映了一次公开的 Kimsuky 活动，其中该团体模拟外交官并投递 LNK 文件和 PowerShell 驱动程序。这就是为什么这些遥测有价值：即使操作员不是，行为是真实的。
检测 Kimsuky
LogTotal 在 16.4 秒内处理了所有 3,087 行，并将 73 条规则与 105 行匹配。将这些匹配项分为一个主机上的 9 条攻击链，报告了 8 条，在 AI 验证步骤中筛选掉了 1 条。
| 判决字段 | 结果 |
| 判决 | 可疑，需要调查 |
| 严重性 | 关键 |
| 信心 | 中等 |
LogTotal 的规则如何映射到原始 Kimsuky 证据
| 触发规则 | 原始证据 |
| 从公共用户配置文件中执行的可疑内容；从可疑文件夹中执行的脚本解释器 | 伪装成带点填充名的 PDF 的 LNK（vvn.31.Pdf……Lnk）；wscript.exe 从 C:UsersPublicDownloads 运行 DefenderUpdate.Js |
| 通过隐藏的 PowerShell 命令行执行的可能性 | powershell.exe -ExecutionPolicy Bypass -WindowStyle Hidden -File …capture.Ps1 |
| 可疑的 LOLBAS MSHTA 防御规避行为 | mshta.exe 运行 %TEMP%D.21_SEOUL.hta |
| 从非典型路径执行的系统进程 | 伪装的 smss.Exe 在 PublicDownloadssystem32 |
| 通过 Net.EXE 可疑操作默认帐户；Reg Add 可疑路径 | net user administrator /active:yes；通过 WinlogonSpecialAccountsUserList 隐藏管理员 |
| 作为服务安装的 PowerShell 脚本；服务文件路径中显式使用 COMSPEC | 服务 OrbitalTestSvc 启动隐藏的 PowerShell |
| 可疑的计划任务（通过审计） | 登录触发的任务 OrbitalHealthCheck 运行隐藏的 svc_update.ps1 |
| 通过网络命令创建的可疑“管理员”本地用户；用户通过命令行被添加到一个组 | adminuserz 创建并添加到新组 admingroupz |
| 事件日志清除（本机）；安全事件日志清除 | 事件 1102，由 15:02:41 UTC 的管理员执行 |
此样本中的 Kimsuky IOC 和工件
以下工件来自仿真，因此名称本身不会再次出现。其背后的模式是需要寻找的。
| 工件 | 类型 | 寻找的模式 |
| vvn.31.Pdf……Lnk | LNK 利用 | 伪装成带点填充名称的文档的快捷方式文件 |
| C:UsersPublicDownloadsDefenderUpdate.Js | 由 wscript.exe 运行的 JScript | 从用户可写文件夹启动的脚本主机 |
| capture.Ps1 | PowerShell 脚本 | -ExecutionPolicy Bypass -WindowStyle Hidden |
| %TEMP%D.21_SEOUL.hta | 由 mshta.exe 运行的 HTA | MSHTA 从 %TEMP% 执行文件 |
| PublicDownloadssystem32smss.Exe | 伪装的二进制 | System32 外的系统进程名 |
| OrbitalTestSvc | 服务 (4697) | 通过 COMSPEC 启动隐藏 PowerShell 的服务 |
| OrbitalHealthCheck → svc_update.ps1 | 计划任务 (4698) | 登录触发的任务运行隐藏的脚本 |
| adminuserz, admingroupz, !BackdoorPass1 | 帐户、组和密码 | 通过 net.exe 创建的新管理员类似本地帐户和组 |
| WinlogonSpecialAccountsUserList | 注册表值 | 从登录屏幕隐藏的帐户 |
| 事件 1102 | 日志清除 | 活动前安全日志被清除 |
Kimsuky 应对措施
首先控制域控制器，然后重建其帐户和日志的信任。LogTotal 的响应计划涵盖了基本要素；因为目标是 DC，所以范围需要扩展到整个域。
LogTotal 的推荐响应
- 隔离主机。
- 映像内存和磁盘。
- 验证并移除 OrbitalHealthCheck 计划任务。
- 检查并恢复审计策略。
- 启用 PowerShell 脚本块日志和 AMSI 遥测。
- 为 WScript、CScript 和 PowerShell 应用白名单。
针对域控制器的额外步骤
- 从 1102 事件开始时间线。 安全日志在 15:02:41 UTC 被清除，因此之前的所有内容必须来自其他来源。
- 收集并哈希 C:UsersPublicDownloads 和 %TEMP% 中的所有内容，包括 LNK、JScript、PowerShell、HTA 和伪装的 smss.Exe。 确认清理。
- Confirm cleanup. 验证 OrbitalTestSvc、 adminuserz 和 admingroupz 已消失，并恢复隐藏管理员的 WinlogonSpecialAccountsUserList 值。
- 重置证书。 重置管理员密码并计划双重 krbtgt 重置。
- 进行全域搜索 查找以点填充的 LNK 文件名，以及从用户可写文件夹启动的脚本主机（wscript.exe、cscript.exe、mshta.exe、powershell.exe）。
对 Kimsuky 式交易手段的强化
捕获此示例的相同控制措施可降低整个域的接触风险。保持启用带命令行的 4688 进程创建，因为 49 个进程事件承担了大部分证据。对 4697 服务安装和 4698 任务创建发出警报，以启动隐藏的 PowerShell。将 DC 上的任何 1102 事件视为事件触发器。
FAQ
Kimsuky 是什么以及它如何运作？
Kimsuky 是一个朝鲜国家支持的间谍团体，由 MITRE ATT&CK 追踪为 G0094，也被称为 APT43、Velvet Chollima 和 Emerald Sleet。它通常通过量身定制的鱼叉式网络钓鱼进入，然后使用 LNK 文件、脚本和 PowerShell 安装后门和持久性，以进行长期情报收集。分析部分列出了完整的简介。
Kimsuky 什么时候首次被发现？
CISA 评估认为 Kimsuky 很可能自 2012 年开始运作。第一份详细的公开报告是卡巴斯基在 2013 年的 “The Kimsuky Operation”，该团体的名称来自卡巴斯基研究人员发现的内部代码参考。
Kimsuky 入侵的影响是什么？
Kimsuky 寻求长期访问以进行情报收集，包括凭据窃取，以及部分操作也针对加密货币行业。例如，在其 2025 年至 2026 年初的集团软件活动中，它利用妥协的软件供应商侵入客户。在域控制器上，如本样本中所述，攻击者可以创建和隐藏管理员帐户，并在整个域中持续存在。
Kimsuky 在 2026 年仍会影响我吗？
是的。Kimsuky 在 2026 年进行了数次活动，包括 Operation GitPower 和针对韩国军方目标的 HTTPSpy 活动。它们使用了本样本中看到的相同 LNK 诱饵、隐藏的 PowerShell 和计划任务持久性。分析部分列出了 2026 年的活动。
如何保护自己免受 Kimsuky 的攻击？
对白名单或限制 WScript、CScript 和 PowerShell，启用脚本块日志和 AMSI 遥测，并对从用户可写文件夹运行的脚本主机发出警报。监视启动隐藏 PowerShell 的新服务和计划任务，并将 DC 上的审计日志清除视为事件。
如何检测 Kimsuky？
收集带命令行的 Windows 安全事件（4688）、服务安装（4697）、计划任务事件（4698、4702、4699）、帐户和组更改（4720–4738）、 AD 更改（5136）和日志清除（1102）。将导出文件通过 LogTotal 运行，以便与已知 Kimsuky 活动匹配，然后根据原始事件确认每个发现。
