Приписываемая Kimsuky кампания использовала три пути доставки вредоносного ПО
Кампания, приписываемая APT-C-55 (Kimsuky), была нацелена преимущественно на жертв из Южной Кореи. Для атак использовались фишинговые письма с файлами LNK, замаскированные ярлыки, запускавшие PowerShell, и отравленный клонированный репозиторий Python. Приманки также составляли на корейском, японском, вьетнамском, немецком и английском языках. Для атак были характерны общие механизмы закрепления, злоупотребление легитимными системными утилитами, поэтапная доставка полезной нагрузки и сбор информации об узле и пользователе.
Фишинговые письма и вредоносные ярлыки
В фишинговом сценарии файл LNK записывал скрипт в кодировке Base64 во временный файл, а скопированный certutil.exe использовался для его декодирования и запуска пакетного скрипта. Компоненты и файлы конфигурации вредоносная программа хранила в общедоступном каталоге видео. В них содержались расположение репозитория, имя полезной нагрузки и токен.
Дополнительные файлы загружались из контролируемого злоумышленниками репозитория с помощью переименованных копий curl.exe и certutil.exe. Вредоносная программа проверяла успешность загрузки, декодировала последующие пакетные скрипты и выполняла их. Запланированная задача запускала скрипт третьей стадии каждые девять минут. Временные файлы, загруженные утилиты и декодированные скрипты удалялись после выполнения, чтобы минимизировать следы.
Основная полезная нагрузка собирала имя узла, учётные записи пользователей, запущенные процессы, системную информацию, сетевые настройки, структуру каталогов, недавние документы и сведения об установленном программном обеспечении. Результаты сохранялись во временных файлах промежуточного хранения, в имена которых включали идентификатор жертвы. Данные выгружались HTTP-запросами POST с помощью переименованных системных утилит.
Другой вариант ярлыка применял PowerShell с двойным шестнадцатеричным кодированием для получения и запуска полезной нагрузки.
Поддельная библиотека Python и сбор данных
Атака на цепочку поставок включала поддельную копию библиотеки Python pybroker. Когда разработчики запускали тесты, изменённые файлы pytest загружали вредоносный файл .env, расшифровывали встроенный код Python с помощью XOR и выполняли его в среде Windows.
Этот код загружал и расшифровывал дополнительные полезные нагрузки с помощью AES-GCM, сохранял их в виде пакетных файлов и запускал через cmd.exe без отображения окна. Кроме того, код загружал WinRAR, извлекал зашифрованные архивы, устанавливал запланированную задачу и разворачивал ту же логику сбора и выгрузки системной информации. Адреса C2 маскировались конкатенацией строк и представлялись как инфраструктура, связанная с Python.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
