Manuel Statik Analiz — Kimsuky APT (Kuzey Kore) | Tehdit: KRITIK
文件 Kimliği
| SHA256 | 56a90f247ccffb6394489b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| 文件名 | Shadows of BlackwoodHotel.pdf.lnk |
| 大小 | 94.489 byte (LNK + PS payload) |
| String Sayisi | 405 |
Çift Uzantı LNK Tuzağı
APT Tekniği: Japonya/Korea temalı otel dokümanı PDF kimliği verilerek kurban ikna ediliyor!
Shadows of BlackwoodHotel.pdf.lnk -- "BlackwoodHotel" = Korean/Japanese tematik yem -- ".pdf" görünür uzantı (Windows gizler .lnk) -- .lnk kısayol = PowerShell veya cmd çalıştırır -- Kimsuky'nin tipik spear phishing belgesi
PowerShell Obfuskasyon + VM Tespiti
$FVj4o6gydZ9UUvvO = @(('{0}{1}' -f 'vmxne','t'), $(-join('lckihls'.
-- "{0}{1}" -f format operatörü: 'vmxne'+'t' = 'vmxnet'
-- 'vmxnet' = VMware sanal NIC sürücüsü!
-- $(-join('lckihls'...)) = dizi karıştırma tekniği
-- VM tespiti → analiz ortamında çalışmaz
hex.Su -- .su Soviet Union TLD (eski USSR domain)
Kimsuky Hakkında
Kimsuky (APT43, Emerald Sleet), Kuzey Kore Devlet 置信度lik Bakanlığı'na bağlı APT grubudur. 2013'ten beri aktif. Güney Kore hükümeti, nükleer araştırma ve savunma sektörlerini hedefler. COVID dönemi aşı araştırma kurumlarını da hedefleyen spear phishing kampanyaları başlattı.
IOC
| SHA256 | 56a90f247ccffb6394489b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| Lure | Shadows of BlackwoodHotel.pdf.lnk (çift uzantı) |
| C2 | hex.Su (.su Soviet Union TLD) |
Kimsuky — 恶意软件档案
Kimsuky Velvet Chollima 2012 Kuzey Kore APT. Shadows of BlackwoodHotel.pdf.lnk otel spy lure. Guney Kore akademi/hükümet.
恶意软件类型
Backdoor
编程语言
PowerShell/VBScript
C2协议
HTTP
目标系统
Guney Kore/NATO
能力与行为
Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması
IOC列表 (1 个指标)
IOC — Kimsuky
# DOMAIN
hex.su
| 类型 | 值 | 备注 |
|---|---|---|
| domain | hex.su |
C2服务器 (该家族共有 1 台已记录服务器)
| 地址 | 类型 | 端口 | 协议 | 状态 | 国家 |
|---|---|---|---|---|---|
| hex.su | domain | 443 | HTTPS | inactive | — |
C2 地址仅来自 KEYDAL 团队人工验证的恶意软件样本。禁止用于商业用途。