Kimsuky APT -- Shadows of BlackwoodHotel.pdf.lnk LNK Çift Uzantı, PS String Concat Anti-VM | Kritik

Manuel Statik Analiz — Kimsuky APT (Kuzey Kore) | Tehdit: KRITIK

Fichier Kimliği

SHA256	`56a90f247ccffb6394489b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2`
Nom du fichier	Shadows of BlackwoodHotel.pdf.lnk
Taille	94.489 byte (LNK + PS payload)
String Sayisi	405

Çift Uzantı LNK Tuzağı

APT Tekniği: Japonya/Korea temalı otel dokümanı PDF kimliği verilerek kurban ikna ediliyor!

Shadows of BlackwoodHotel.pdf.lnk
-- "BlackwoodHotel" = Korean/Japanese tematik yem
-- ".pdf" görünür uzantı (Windows gizler .lnk)
-- .lnk kısayol = PowerShell veya cmd çalıştırır
-- Kimsuky'nin tipik spear phishing belgesi

PowerShell Obfuskasyon + VM Tespiti

$FVj4o6gydZ9UUvvO = @(('{0}{1}' -f 'vmxne','t'), $(-join('lckihls'.
-- "{0}{1}" -f format operatörü: 'vmxne'+'t' = 'vmxnet'
-- 'vmxnet' = VMware sanal NIC sürücüsü!
-- $(-join('lckihls'...)) = dizi karıştırma tekniği
-- VM tespiti → analiz ortamında çalışmaz
hex.Su  -- .su Soviet Union TLD (eski USSR domain)

Kimsuky Hakkında

Kimsuky (APT43, Emerald Sleet), Kuzey Kore Devlet Confiancelik Bakanlığı'na bağlı APT grubudur. 2013'ten beri aktif. Güney Kore hükümeti, nükleer araştırma ve savunma sektörlerini hedefler. COVID dönemi aşı araştırma kurumlarını da hedefleyen spear phishing kampanyaları başlattı.

IOC

SHA256	`56a90f247ccffb6394489b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2`
Lure	Shadows of BlackwoodHotel.pdf.lnk (çift uzantı)
C2	hex.Su (.su Soviet Union TLD)

Kimsuky — Profil du malware

Kimsuky Velvet Chollima 2012 Kuzey Kore APT. Shadows of BlackwoodHotel.pdf.lnk otel spy lure. Guney Kore akademi/hükümet.

Type de malware

Backdoor

Langage de programmation

PowerShell/VBScript

Protocole C2

HTTP

Systèmes ciblés

Guney Kore/NATO

Capacités et comportement

Uzaktan Erişim & Kontrol

Keylogger

Ekran Görüntüsü

Webcam Erişimi

Dosya Yönetimi

Süreç Yönetimi

Komut Yürütme

Kalıcılık Mekanizması

Liste IOC (1 indicateurs)

IOC — Kimsuky

# DOMAIN
hex.su

Type	Valeur	Note
domain	hex.su

Kimsuky — Voir le profil complet →

Serveurs C2 (1 serveurs enregistrés pour cette famille)

Adresse	Type	Port	Protocole	Statut	Pays
hex.su	domain	443	HTTPS	inactive	—

Les adresses C2 proviennent uniquement d'échantillons de malwares vérifiés manuellement par l'équipe KEYDAL. Toute utilisation commerciale est interdite.