Эксперты из AhnLab Security Intelligence Center (ASEC) обнаружили новую фишинговую кампанию, организованную хакерской группировкой Kimsuky. Злоумышленники рассылают письма, маскируя их под запросы на рецензирование научных работ от имени профессоров. В письмах содержится вложение в формате HWP (Hancom Word Processor) с вредоносным OLE-объектом.
Описание
Документ защищен паролем, который указан в теле письма. После открытия файла в папке %TEMP% автоматически создаются шесть скрытых файлов. Для дополнительного вовлечения жертвы в документе размещена гиперссылка «More…», которая запускает исполняемый файл peice.bat.
Среди созданных файлов - исполняемый модуль app.db с валидной цифровой подписью, PowerShell-скрипт get.db для сбора данных о системе, легитимный документ hwp_doc.db в качестве приманки, конфигурационный файл mnfst.db, XML-планировщик sch_0514.db и скрипт peice.bat, координирующий работу остальных компонентов.
После запуска peice.bat вредоносное ПО выполняет ряд действий: удаляет исходный HWP-файл, переименовывает документ-приманку, регистрирует задание в планировщике Windows и копирует файлы в системные директории. Основная цель - скрытая установка бекдора на основе AnyDesk, который позволяет злоумышленникам получать удаленный доступ к системе.
Скрипт template.ps1 собирает информацию о процессах и антивирусном ПО, после чего отправляет данные на Dropbox-аккаунт злоумышленников. Дополнительно загружается файл 1.bat, который скачивает и распространяет компоненты для скрытого управления системой через AnyDesk.
Эксперты отмечают, что Kimsuky активно использует легитимное ПО и облачные сервисы для маскировки атак. Фишинговые письма часто затрагивают темы, связанные с профессиональной деятельностью жертв, что повышает риск заражения. Пользователям рекомендуется избегать открытия вложений из непроверенных источников и всегда проверять расширения файлов перед запуском.
Индикаторы компрометации
