Под видом резюме соискателя группировка Kimsuky рассылает программы-вымогатели. Вложением служит документ корейского офисного пакета Hangul, привычный для сотрудников корейских компаний и государственных учреждений. Внутри спрятан вредоносный код, который не срабатывает сам по себе. Заражение начинается только после того, как получатель кликнет по ссылке в тексте документа. Внешне письмо выглядит безобидно: адресату предлагают открыть резюме и посмотреть данные кандидата. Насторожить должно другое - резюме приходит от незнакомого отправителя и требует лишнего действия.
Описание
Как только документ открыт, редактор создаёт во временной папке два файла: исполняемый модуль и скрипт. Пользователь ничего не подтверждает и не замечает этого. Затем в тексте появляется ссылка с предложением открыть резюме в виде PDF. Один клик запускает цепочку из нескольких скриптов - пакетных, на языках VBS и PowerShell. Каждый следующий этап скачивает с внешних серверов архив или новую команду. Часть файлов авторы атаки разместили на общедоступном облачном сервисе, чтобы ссылка выглядела надёжной. Постепенно на машине оказывается переносимая программа скрытого доступа, написанная на Python, а отдельный шаг обходит запрос прав администратора, чтобы продолжить работу без ведома владельца.
Завершает цепочку программа удалённого доступа Quasar, инструмент для скрытого управления чужой машиной. Её настройки злоумышленники переписали: сменился адрес командно-контрольного сервера (C2-сервера), вырос номер версии, появилась метка с названием пострадавшей организации. Внутренний идентификатор остался прежним - по данным AhnLab SEcurity intelligence Center, он совпадает с образцами из двух предыдущих кампаний этого года. Именно через Quasar атакующие запускают вымогатель Funhouse на последнем шаге.
Funhouse оказался не новой разработкой, а изменённой версией семейства Endpoint. Совпадают расширение зашифрованных файлов, имя текстового файла с требованием выкупа, способ генерации ключей, размер служебной надстройки и цифровая метка. Отличается только контакт для переговоров: вместо прежнего адреса электронной почты указан новый. Значит, защитные решения, настроенные на прошлые образцы, распознают и свежую версию.
Смена вектора доставки
Раньше группировка чаще использовала файлы-ярлыки Windows. Теперь основным инструментом стали документы Hangul. Причина связана с реакцией человека: формат резюме не вызывает подозрений у кадровой службы, а клик по ссылке внутри файла выглядит естественно. Требование клика усложняет работу почтовых шлюзов, которые проверяют вложения автоматически. Прямую загрузку вредоносного файла такие системы замечают чаще.
Разобрать цепочку целиком не удалось. Часть файлов к моменту анализа оказалась недоступна, поэтому функциональность отдельных этапов осталась неописанной. Последовательность действий восстановили по журналам: вредоносные скрипты исполняются по очереди, и каждый шаг подготавливает следующий.
Последствия для пострадавшей организации тяжёлые. Файлы шифруются, работа отделов останавливается, на экранах появляется требование выкупа. Без резервных копий вернуть данные нечем, а простой измеряется днями. Утечка информации тоже возможна: доступ к машине у злоумышленников сохраняется до запуска вымогателя.
Меры защиты остаются стандартными. Нужны свежие версии Hangul и операционной системы, актуальный антивирус и проверка источника ссылок в деловых документах. Кампания показывает другое: группировка сохраняет семейство программ-вымогателей и одновременно обновляет инфраструктуру. Меняются версии, серверы управления, метки и контакты. Ключевые признаки атакующие не трогают, поэтому защитные решения продолжают узнавать вредоносные образцы.
Индикаторы компрометации
