Резюме в формате HWP доставляло шифровальщик Funhouse
ASEC выявила связанный с группировкой Kimsuky случай распространения шифровальщика Funhouse, варианта ранее задокументированного шифровальщика Endpoint. Вредоносный документ HWP, замаскированный под резюме, содержал встроенные данные OLE и гиперссылку на якобы существующий файл resume_{имя}.pdf. Переход по ссылке запускал сохранённые файлы и продолжал цепочку заражения.
При открытии документа процесс Hangul сохранял в каталог %TEMP% файлы pdf.exe и pdf.exe.manifest. Первый представлял собой исполняемый скрипт VbsEdit, а манифест содержал вредоносный скрипт, который создавал файл lpe{случайное значение}.bat. Атака проходила в несколько этапов с использованием скриптов Batch, VBScript и PowerShell.
В ходе атаки устанавливался Quasar RAT, который затем использовался для запуска программы-вымогателя. Его образец был тесно связан с образцом из более ранних инцидентов с Endpoint. Quasar RAT использовал файл конфигурации с расширением .dwg. В нём содержались адрес управления, идентификатор цели заражения и имя мьютекса. Значение мьютекса совпадало с использованным в предыдущем случае.
Сходство образцов, поэтапное применение скриптов и финальный запуск программы-вымогателя соответствовали активности по распространению Endpoint, связанной с Kimsuky и наблюдавшейся с первой половины 2026 года. Funhouse сохранил основные технические характеристики Endpoint: расширение зашифрованных файлов, имя файла с требованием выкупа, мьютекс, процедуры генерации ключей и шифрования, размер подвала шифрования и маркер.
Контактные данные злоумышленника изменились. По оценке ASEC, это указывает на продолжающуюся модификацию вредоносного ПО и инфраструктуры при сохранении основного поведения семейства.
Этот случай также ознаменовал переход от файлов LNK, обычно использовавшихся в недавней деятельности Kimsuky, к документу HWP под видом резюме. Формат документа и встроенная гиперссылка, вероятно, предназначались для снижения подозрительности и побуждения пользователя к взаимодействию до выполнения вредоносных скриптов.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
Об этом также писали: gbhackers.com.
