#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Kimsuky расширил операцию GitPower в рамках кампании кибершпионажа, нацеленной на украинских экспертов посредством целевого фишинга, основанного на ответных письмах. Архивы с паролем и поддельные установщики Zoom доставляли обфусцированные полезную нагрузки в форматах LNK, VBS и PowerShell, которые собирали системные данные, обеспечивали закрепление через запланированные задачи, загружали результаты через GitHub и взаимодействовали с TCP-серверами C2.
-----

В отчёте кампания кибершпионажа, направленная против украинских экспертов в области дипломатии, безопасности, международной политики и гражданского общества, приписывается группе Kimsuky, связанной с Северной Кореей. Деятельность оценивается как расширение операции Operation GitPower и, возможно, направлена на получение разведданных о войне России и Украины, военных развёртываниях и потерях Северной Кореи, военнопленных, а также о сотрудничестве Южной Кореи и Украины. С цельювыми жертвами устанавливали контакт посредством целевого фишинга, основанного на ответных сообщениях, включая приглашения выступить на корейской конференции по кибербезопасности и просьбы рассмотреть аналитические отчёты. Первоначальные электронные письма, как правило, не содержали ссылок или вложений; вредоносное содержимое отправлялось только после того, как получатель отвечал, что помогало верифицировать цели и обходить средства защиты электронной почты.

Последующие сообщения содержали архивы с паролем, в которых находились файлы LNK, замаскированные под документы PDF, часто наряду с легитимными HTML-файлами или документными приманками. Файлы LNK использовали двойные расширения и значки PDF, загружали скрипты с GitLab или GitHub, сохраняли их под именами файлов, связанными с VBE или PowerShell, и выполняли их через компоненты сценариев Windows. Скрипты применяли подстановку строк и обфускацию Base64, обходили политику выполнения PowerShell, скрывали окна выполнения, собирали системную информацию и передавали результаты через API GitHub или другую инфраструктуру, контролируемую злоумышленниками. Связанные темы приманок включали инициативы мира, исследовательские отчеты, политические документы на японском языке и поддельный установщик Zoom.

Поддельный исполняемый файл Zoom представлял собой неподписанный 64-разрядный загрузчик, содержащий VBS- и PowerShell-скрипты, закодированные в Base64. Он создавал вредоносные файлы, одновременно запуская легитимный установщик Zoom, чтобы скрыть компрометацию. Оба варианта — на основе LNK и Zoom — обеспечивали закрепление (persistence) посредством запланированных задач, названия которых имитировали обновления легитимного программного обеспечения, в том числе OneDriveUpdateScheduler, Zoom-Auto-Installer и GoogleUpdateTaskMachineUA. Скрипты выполнялись с интервалом от одной до 30 минут, устанавливали соединение с отдельным TCP-сервером управления (command-and-control) на порту 12345, аутентифицировались с использованием захардкоженного пароля в открытом виде, загружали дополнительные PowerShell-задачи, отправляли файлы с результатами и удаляли переданные или временные файлы.

Повторное использование инфраструктуры, сходство кода, паттерны обфускации, имена репозиториев, методы сбора данных и поведение C2 связали украинскую активность с предыдущими кампаниями Operation GitPower. Ключевые возможности для обнаружения включают корреляцию выполнения LNK-файлов на основе архивов, загрузок с помощью curl или PowerShell из сервисов Git, выполнения VBE, подозрительных запланированных задач, активности в публичных пользовательских каталогах, загрузки данных на GitHub и последующих TCP-соединений C2.