Северокорейская группа Kimsuky провела серию фишинговых атак с использованием легитимных облачных сервисов и маскировки под темы резюме, криптовалют и военных мероприятий

Первая кампания нацелена на отделы кадров и медицинские учреждения. Злоумышленники распространяли файлы с расширением .pdf.lnk, которые визуально выглядели как резюме, визитные карточки или страховые документы. При запуске такого ярлыка система извлекала из его конца легитимный PDF-документ, чтобы отвлечь жертву, а в фоне запускался скрипт на PowerShell. Используя стандартный интерпретатор, хакеры отключали контроль учётных записей (UAC) и добавляли свой путь в исключения антивируса Microsoft Defender. Затем в планировщик задач добавлялась задача с именем, имитирующим драйвер Intel, которая каждые пять минут с системными привилегиями загружала и выполняла основную вредоносную нагрузку - троян удалённого управления с сервера nelark[.]icu. Для идентификации каждого заражённого ПК применялся уникальный идентификатор (UID), что позволяло выборочно отправлять команды.

Вторая кампания ориентирована на криптосообщество. Вредоносный файл маскировался под техническую документацию о вымышленном решении "PumpGuard" для блокчейн-платформы Pump.fun на Solana. Отчёт южнокорейских исследователей показывает, что после запуска PowerShell-скрипт скачивал с GitHub настоящий PDF-документ, чтобы усыпить бдительность, а затем собирал данные о системе. Вредоносная нагрузка - инфостилер (программа для кражи информации) - записывал IP-адрес, версию ОС, установленный антивирус, список процессов и другие сведения в текстовый файл, который загружался обратно в репозиторий злоумышленников. Для повторного запуска в планировщик задач добавлялась задача с именем "OneDrive", периодичность - 60 минут. После завершения сбора все следы удалялись: стирались и скрипты, и собранные файлы. Интересно, что каналом управления служил сам GitHub - его репозитории редко блокируются системами фильтрации, так как трафик выглядит как обычная разработка.

Третья кампания имитировала приглашение на международные военные соревнования K-ICTC (Korea International Combat Training Competition). Вредоносный ярлык .pdf.lnk при запуске скачивал с собственного IP-адреса (103.67.196.25) закодированный VBS-скрипт, который, в свою очередь, через WMI активировал PowerShell. Код был сильно обфусцирован: названия переменных состояли из имён животных (tiger, bear, puma). После расшифровки PowerShell запрашивал у системы MAC-адрес сетевой карты и отправлял его на сервер C2 в параметре seed. В ответ приходила персонализированная полезная нагрузка, которая выполнялась в памяти без записи на диск. Планировщик запускался каждые 15 минут для поддержания доступа. Привязка к MAC-адресу означала, что только целевая машина получит активный код - в аналитических песочницах вредоносное поведение не проявлялось.

Четвёртая кампания оказалась наиболее продвинутой. Файлы имели двойное расширение .hwpx.jse, которое в проводнике Windows отображалось как обычный документ HWP (корейский текстовый процессор). Внутри ZIP-архива находились два разных JSE-скрипта. Первый из них через встроенную утилиту certutil декодировал DLL-модуль и загружал его через rundll32. DLL выполнял разведку: собирал информацию об установленном антивирусе, пользователях, процессах, сетевых подключениях, реестре автозагрузки - и отправлял всё на сервер yespp.co.kr. Второй JSE-скрипт загружал с официального CDN Microsoft легитимный исполняемый файл Visual Studio Code (code.exe) и запускал его в режиме туннеля с именем bizeugene. Затем считывал сгенерированный GitHub устройством одноразовый код доступа и отправлял его тому же серверу C2. Атакующий активировал туннель через свой браузер и получал полный удалённый доступ к рабочему столу жертвы так, как если бы использовал официальную возможность VSCode. При этом межсетевые экраны и системы обнаружения вторжений видели только легитимные соединения с серверами Microsoft и GitHub.

Общие тактики, приёмы и процедуры (TTP) всех четырёх кампаний одинаковы. Злоумышленники всегда используют двойные расширения для файлов, начальное отвлечение легитимным документом, штатные компоненты Windows (curl, certutil, rundll32, wscript, schtasks) и доверенные облачные сервисы в качестве каналов управления. Они маскируют задачи планировщика под стандартные процессы (OneDrive, Intel). Обязательно применяется обфускация PowerShell-скриптов и идентификация жертв по UID, IP-адресу или MAC. Столь разнообразный набор приманок - от резюме до военных учений - указывает на глубокую разведку целей и их профессиональную сегментацию.

Kimsuky меняет индикаторы компрометации с каждым письмом, но сохраняет паттерны поведения: создание подозрительных папок в %AppData%, регистрация задач с необычными интервалами, PowerShell без командной строки, вызовы к raw.githubusercontent.com или нестандартные вызовы code.exe. Необходимо выстраивать мониторинг на корреляцию событий: создание процесса LNK или JSE из вложения электронной почты, последующий запуск PowerShell с параметрами загрузки, изменения в планировщике, сетевые соединения к облачным API. Только поведенческий анализ позволяет обнаружить такие цепочки атак на ранней стадии - до того, как злоумышленник получит полный контроль над корпоративной инфраструктурой.