#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания, связанная с группировкой Kimsuky, использовала LNK-файл, замаскированный под корейский финансовый документ, для запуска скриптов и полезных нагрузок с помощью легитимных утилит, таких как NirCmd, certutil, curl и WScript.Shell. Для поэтапной доставки команд, отправки отчетов о жертвах и эксфильтрации данных использовались публичные репозитории, WordPress и Dropbox, что позволяло избегать использования инфраструктуры атакующего. Целевые системы отбирались на основе MachineGuid, а на последующих этапах обеспечивалось перенаправление портов SSH и удаленный доступ через порт 443.
-----

Кампания, связанная с Kimsuky, использовала вредоносный файл LNK, замаскированный под корейский финансовый документ, для инициации заражения. Ярлык запускал `conhost.exe` в минимизированном окне с иконкой и метаданными, имитирующими документ. Он декодировал содержимое в кодировке Base64 для создания скриптов, а затем загружал файлы последующих стадий из публичных репозиториев с использованием легитимных системных утилит. В атаке применялась архитектура «dead-drop», что позволяло избегать прямых подключений к инфраструктуре, контролируемой злоумышленниками.

Первоначальный скрипт скачивал файл с именем `taskhostw.exe`, который на самом деле являлся легитимной утилитой NirCmd. Функция `exec hide` в NirCmd использовалась для запуска полезных нагрузок без отображения окон. В случае сбоя загрузки VBS-скрипт, использующий `WScript.Shell`, обеспечивал альтернативный механизм выполнения и закрепления. Установка ключа Run в реестре или создание службы не наблюдались. Атакующие также использовали переименованные копии `certutil.exe` и `curl.exe` для загрузки файлов и декодирования содержимого в формате Base64, применяя техники living-off-the-land, чтобы снизить зависимость от собственного ВПО и обойти файловое обнаружение.

Доставка команд, отчетность об заражении, эксфильтрация данных и удаленный доступ были распределены по различным легитимным сервисам. На этапе 2 периодически извлекались инструкции из репозитория GitHub, а уведомления о заражении отправлялись через GET-запрос на сайт, размещенный на WordPress. Запрос содержал в открытом виде в параметрах URL `MachineGuid`, имя пользователя, идентификатор кампании и имя компьютера жертвы. Собранные данные загружались через API Dropbox с использованием захардкоженных учетных данных и токенов доступа, при этом для зараженных систем выделялись отдельные папки.

ВПО первоначально собирала системную информацию, учетные записи пользователей, сетевые настройки и списки недавно открытых документов. Значение конфигурации в файле `bin.ini` определяло активную стадию обработки. Изменяя это значение, оператор мог переводить выбранные системы со стадии разведки на стадию удаленного доступа. Инструментарий более поздней стадии использовал замаскированный клиент OpenSSH с перенаправлением удаленных портов SSH через порт 443, отключал проверку ключей хоста и открывал локальный порт через внешний сервис туннелирования.

Выбор целей основывался на идентификаторах `MachineGuid`, что позволяло злоумышленникам отправлять дополнительные команды только на выбранные системы. Репозитории содержали деловые документы на корейском языке, что подтверждает оценку целенаправленного воздействия на организации внутри страны. Использование маскированных имен запланированных задач и исполняемых файлов дополнительно скрывало активность.