Manuel Statik Analiz — Kimsuky APT (Kuzey Kore) | Tehdit: KRITIK
Archivo Kimliği
| SHA256 | 56a90f247ccffb6394489b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| Nombre de archivo | Shadows of BlackwoodHotel.pdf.lnk |
| Tamaño | 94.489 byte (LNK + PS payload) |
| String Sayisi | 405 |
Çift Uzantı LNK Tuzağı
APT Tekniği: Japonya/Korea temalı otel dokümanı PDF kimliği verilerek kurban ikna ediliyor!
Shadows of BlackwoodHotel.pdf.lnk -- "BlackwoodHotel" = Korean/Japanese tematik yem -- ".pdf" görünür uzantı (Windows gizler .lnk) -- .lnk kısayol = PowerShell veya cmd çalıştırır -- Kimsuky'nin tipik spear phishing belgesi
PowerShell Obfuskasyon + VM Tespiti
$FVj4o6gydZ9UUvvO = @(('{0}{1}' -f 'vmxne','t'), $(-join('lckihls'.
-- "{0}{1}" -f format operatörü: 'vmxne'+'t' = 'vmxnet'
-- 'vmxnet' = VMware sanal NIC sürücüsü!
-- $(-join('lckihls'...)) = dizi karıştırma tekniği
-- VM tespiti → analiz ortamında çalışmaz
hex.Su -- .su Soviet Union TLD (eski USSR domain)
Kimsuky Hakkında
Kimsuky (APT43, Emerald Sleet), Kuzey Kore Devlet Confianzalik Bakanlığı'na bağlı APT grubudur. 2013'ten beri aktif. Güney Kore hükümeti, nükleer araştırma ve savunma sektörlerini hedefler. COVID dönemi aşı araştırma kurumlarını da hedefleyen spear phishing kampanyaları başlattı.
IOC
| SHA256 | 56a90f247ccffb6394489b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| Lure | Shadows of BlackwoodHotel.pdf.lnk (çift uzantı) |
| C2 | hex.Su (.su Soviet Union TLD) |
Kimsuky — Perfil del malware
Kimsuky Velvet Chollima 2012 Kuzey Kore APT. Shadows of BlackwoodHotel.pdf.lnk otel spy lure. Guney Kore akademi/hükümet.
Tipo de malware
Backdoor
Lenguaje de programación
PowerShell/VBScript
Protocolo C2
HTTP
Sistemas objetivo
Guney Kore/NATO
Capacidades y comportamiento
Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması
Lista IOC (1 indicadores)
IOC — Kimsuky
# DOMAIN
hex.su
| Tipo | Valor | Nota |
|---|---|---|
| domain | hex.su |
Servidores C2 (1 servidores registrados para esta familia)
| Dirección | Tipo | Puerto | Protocolo | Estado | País |
|---|---|---|---|---|---|
| hex.su | domain | 443 | HTTPS | inactive | — |
Las direcciones C2 se proporcionan únicamente a partir de muestras de malware verificadas manualmente por el equipo KEYDAL. Se prohíbe el uso comercial.