Kimsuky -- Shadows_BlackwoodHotel.pdf.lnk, PS vmxnet VM Tespiti, hex.Su C2, Kuzey Kore APT | Kritik

文件 Kimliği

PDF Kısayol Tuzağı

Shadows of BlackwoodHotel.pdf.lnk
-- Kurgusal roman/edebi içerik lure (akademisyen/araştırmacı hedefi?)
-- Windows'ta uzantı gizlenince: "Shadows of BlackwoodHotel.pdf" görünür

PowerShell Çok Katmanlı Obfuskasyon

function vd {
    $FVj4o6gydZ9UUvvO = @(('{0}{1}' -f 'vmxne','t'), $(-join('lckihls'...
-- ('{0}{1}' -f 'vmxne','t') = String.Format ile "vmxne"+"t" = "vmxnet"
-- VMware vmxnet ağ adaptörü = Sanal makine tespiti!
-- $(-join('lckihls'...)) = karakter sırası tersine çevirme obfuskasyonu

C2 ve IOC

hex.Su      -- .su Sovyet TLD C2 domain
1mb.com     -- Dosya paylaşım platformu (payload hosting)

Kimsuky (Kuzey Kore) Hakkında

Kimsuky (APT43/Velvet Chollima), Kuzey Kore istihbaratına (RGB) bağlı siber casusluk grubudur. 属性le Güney Kore hükümeti, think-tank ve güvenlik araştırmacılarını hedefler. LNK dosyaları, sahte PDF'ler ve PowerShell ile HWP (Hangul) belge formatını kötüye kullanır.

IOC