#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания, приписываемая Kimsuky, использовала вредоносное резюме на хангыле для запуска многоэтапной цепочки заражения, включающей VBScript, Batch, PowerShell, Python-бэкдор и Quasar RAT. В конечном итоге Quasar развернул шифровальщик Funhouse, который шифровал файлы с расширением `.Funhouse`. Повторное использование артефактов, включая мьютекс шифровальщика, характеристики шифрования и паттерны конфигурации, указывает на преемственность с более ранней деятельностью Kimsuky.
-----

Кампания, приписываемая Kimsuky, использовала вредоносный документ на хангыль `resume.hwp`, замаскированный под резюме, для доставки шифровальщика Funhouse. Документ содержит вредоносные данные OLE, которые при открытии извлекают `pdf.exe` и соответствующий манифест/скрипт в временный каталог Windows. Также в документе отображается гиперссылка, маскирующаяся под PDF, например `resume_{name}.pdf`. При переходе по ссылке запускается `pdf.exe`, идентифицированный как редактор VBScript, который обрабатывает вредоносный манифест.

Цепочка заражения проходит через несколько этапов на основе Batch, VBScript и PowerShell. Эти скрипты обеспечивают закрепление или поток выполнения, устанавливают бэкдор на базе Python и развертывают Quasar RAT. Затем вредоносное ПО удаленного доступа используется для запуска шифровальщика Funhouse, выступая связующим звеном между начальной компрометацией, основанной на документе, и шифрованием файлов. Пара «исполняемый файл и манифест», а также элементы пакетного скриптинга были связаны с более ранними кампаниями Kimsuky, в которых использовались бэкдоры на базе Python и вредоносные файлы LNK.

Вариант Quasar хранит свою конфигурацию в файле `dog.dwg`, заменяя артефакт `se.dwg`, наблюдавшийся в активности в феврале и июне. Несмотря на изменения в именах файлов, инфраструктуре, версиях конфигурации и контактных адресах, вымогатель сохранил технические сходства с образцом Endpoint, обнаруженным в июне. К ним относятся расширение зашифрованных файлов `.Funhouse`, записка-вымогательство `How To Restore Your Files.Txt`, повторно используемый мьютекс вымогателя, аналогичный метод шифрования, размер подвала и встроенный маркер.

Активность свидетельствует о непрерывности операций при развертывании вымогательского ПО Kimsuky, а не о полностью новой операции. Ключевые артефакты расследования включают извлечение исполняемых файлов в временные каталоги, выполнение VbsEdit, цепочки этапов на основе скриптов, установку Python-бэкдора, конфигурационные файлы Quasar и, в конечном итоге, развертывание Funhouse. Эти детали реализации и повторно используемые артефакты, такие как мьютексы или конфигурационные файлы, могут обеспечить более надежные возможности для обнаружения и корреляции по сравнению с изменяемыми именами файлов, адресами эл. почты или сетевой инфраструктурой.