Kimsuky -- Shadows_BlackwoodHotel.pdf.lnk, PS vmxnet VM Tespiti, hex.Su C2, Kuzey Kore APT | Kritik

Manuel Statik Analiz — Kimsuky (Kuzey Kore APT) | Tehdit: KRITIK

Fichier Kimliği

SHA256	`56a90f247ccffb6394489b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f5a8`
Nom du fichier	Shadows of BlackwoodHotel.pdf.lnk
Tip	Windows LNK (kısayol) PDF taklidi
String Sayisi	405

PDF Kısayol Tuzağı

Kamuflaj: ".pdf.lnk" — Windows dosya uzantısı gizlenince ".pdf" gibi görünür!

Shadows of BlackwoodHotel.pdf.lnk
-- Kurgusal roman/edebi içerik lure (akademisyen/araştırmacı hedefi?)
-- Windows'ta uzantı gizlenince: "Shadows of BlackwoodHotel.pdf" görünür

PowerShell Çok Katmanlı Obfuskasyon

function vd {
    $FVj4o6gydZ9UUvvO = @(('{0}{1}' -f 'vmxne','t'), $(-join('lckihls'...
-- ('{0}{1}' -f 'vmxne','t') = String.Format ile "vmxne"+"t" = "vmxnet"
-- VMware vmxnet ağ adaptörü = Sanal makine tespiti!
-- $(-join('lckihls'...)) = karakter sırası tersine çevirme obfuskasyonu

C2 ve IOC

hex.Su      -- .su Sovyet TLD C2 domain
1mb.com     -- Dosya paylaşım platformu (payload hosting)

Kimsuky (Kuzey Kore) Hakkında

Kimsuky (APT43/Velvet Chollima), Kuzey Kore istihbaratına (RGB) bağlı siber casusluk grubudur. Propriétéle Güney Kore hükümeti, think-tank ve güvenlik araştırmacılarını hedefler. LNK dosyaları, sahte PDF'ler ve PowerShell ile HWP (Hangul) belge formatını kötüye kullanır.

IOC

SHA256	`56a90f247ccffb6394489b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f5a8`
C2	hex.su
VM Detect	vmxnet (PowerShell obfuskat)

Kimsuky — Profil du malware

Kimsuky Velvet Chollima 2012 Kuzey Kore APT. Shadows of BlackwoodHotel.pdf.lnk otel spy lure. Guney Kore akademi/hükümet.

Type de malware

Backdoor

Langage de programmation

PowerShell/VBScript

Protocole C2

HTTP

Systèmes ciblés

Guney Kore/NATO

Capacités et comportement

Uzaktan Erişim & Kontrol

Keylogger

Ekran Görüntüsü

Webcam Erişimi

Dosya Yönetimi

Süreç Yönetimi

Komut Yürütme

Kalıcılık Mekanizması

Liste IOC (2 indicateurs)

IOC — Kimsuky

# DOMAIN
hex.su

# DOMAIN
1mb.com

Type	Valeur	Note
domain	hex.su
domain	1mb.com

Kimsuky — Voir le profil complet →

Serveurs C2 (1 serveurs enregistrés pour cette famille)

Adresse	Type	Port	Protocole	Statut	Pays
hex.su	domain	443	HTTPS	inactive	—

Les adresses C2 proviennent uniquement d'échantillons de malwares vérifiés manuellement par l'équipe KEYDAL. Toute utilisation commerciale est interdite.