Kimsuky APT -- Shadows of BlackwoodHotel.pdf.lnk LNK Çift Uzantı, PS String Concat Anti-VM | Kritik

Manuel Statik Analiz — Kimsuky APT (Kuzey Kore) | Tehdit: KRITIK

Arquivo Kimliği

SHA256	`56a90f247ccffb6394489b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2`
Nome do arquivo	Shadows of BlackwoodHotel.pdf.lnk
Tamanho	94.489 byte (LNK + PS payload)
String Sayisi	405

Çift Uzantı LNK Tuzağı

APT Tekniği: Japonya/Korea temalı otel dokümanı PDF kimliği verilerek kurban ikna ediliyor!

Shadows of BlackwoodHotel.pdf.lnk
-- "BlackwoodHotel" = Korean/Japanese tematik yem
-- ".pdf" görünür uzantı (Windows gizler .lnk)
-- .lnk kısayol = PowerShell veya cmd çalıştırır
-- Kimsuky'nin tipik spear phishing belgesi

PowerShell Obfuskasyon + VM Tespiti

$FVj4o6gydZ9UUvvO = @(('{0}{1}' -f 'vmxne','t'), $(-join('lckihls'.
-- "{0}{1}" -f format operatörü: 'vmxne'+'t' = 'vmxnet'
-- 'vmxnet' = VMware sanal NIC sürücüsü!
-- $(-join('lckihls'...)) = dizi karıştırma tekniği
-- VM tespiti → analiz ortamında çalışmaz
hex.Su  -- .su Soviet Union TLD (eski USSR domain)

Kimsuky Hakkında

Kimsuky (APT43, Emerald Sleet), Kuzey Kore Devlet Confiançalik Bakanlığı'na bağlı APT grubudur. 2013'ten beri aktif. Güney Kore hükümeti, nükleer araştırma ve savunma sektörlerini hedefler. COVID dönemi aşı araştırma kurumlarını da hedefleyen spear phishing kampanyaları başlattı.

IOC

SHA256	`56a90f247ccffb6394489b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2`
Lure	Shadows of BlackwoodHotel.pdf.lnk (çift uzantı)
C2	hex.Su (.su Soviet Union TLD)

Kimsuky — Perfil do malware

Kimsuky Velvet Chollima 2012 Kuzey Kore APT. Shadows of BlackwoodHotel.pdf.lnk otel spy lure. Guney Kore akademi/hükümet.

Tipo de malware

Backdoor

Linguagem de programação

PowerShell/VBScript

Protocolo C2

HTTP

Sistemas-alvo

Guney Kore/NATO

Capacidades e comportamento

Uzaktan Erişim & Kontrol

Keylogger

Ekran Görüntüsü

Webcam Erişimi

Dosya Yönetimi

Süreç Yönetimi

Komut Yürütme

Kalıcılık Mekanizması

Lista IOC (1 indicadores)

IOC — Kimsuky

# DOMAIN
hex.su

Tipo	Valor	Nota
domain	hex.su

Kimsuky — Ver perfil completo →

Servidores C2 (1 servidores registrados para esta família)

Endereço	Tipo	Porta	Protocolo	Status	País
hex.su	domain	443	HTTPS	inactive	—

Os endereços C2 são fornecidos apenas a partir de amostras de malware verificadas manualmente pela equipe KEYDAL. O uso comercial é proibido.