Kimsuky -- Shadows_BlackwoodHotel.pdf.lnk, PS vmxnet VM Tespiti, hex.Su C2, Kuzey Kore APT | Kritik

Manuel Statik Analiz — Kimsuky (Kuzey Kore APT) | Tehdit: KRITIK

Arquivo Kimliği

SHA256	`56a90f247ccffb6394489b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f5a8`
Nome do arquivo	Shadows of BlackwoodHotel.pdf.lnk
Tip	Windows LNK (kısayol) PDF taklidi
String Sayisi	405

PDF Kısayol Tuzağı

Kamuflaj: ".pdf.lnk" — Windows dosya uzantısı gizlenince ".pdf" gibi görünür!

Shadows of BlackwoodHotel.pdf.lnk
-- Kurgusal roman/edebi içerik lure (akademisyen/araştırmacı hedefi?)
-- Windows'ta uzantı gizlenince: "Shadows of BlackwoodHotel.pdf" görünür

PowerShell Çok Katmanlı Obfuskasyon

function vd {
    $FVj4o6gydZ9UUvvO = @(('{0}{1}' -f 'vmxne','t'), $(-join('lckihls'...
-- ('{0}{1}' -f 'vmxne','t') = String.Format ile "vmxne"+"t" = "vmxnet"
-- VMware vmxnet ağ adaptörü = Sanal makine tespiti!
-- $(-join('lckihls'...)) = karakter sırası tersine çevirme obfuskasyonu

C2 ve IOC

hex.Su      -- .su Sovyet TLD C2 domain
1mb.com     -- Dosya paylaşım platformu (payload hosting)

Kimsuky (Kuzey Kore) Hakkında

Kimsuky (APT43/Velvet Chollima), Kuzey Kore istihbaratına (RGB) bağlı siber casusluk grubudur. Propriedadele Güney Kore hükümeti, think-tank ve güvenlik araştırmacılarını hedefler. LNK dosyaları, sahte PDF'ler ve PowerShell ile HWP (Hangul) belge formatını kötüye kullanır.

IOC

SHA256	`56a90f247ccffb6394489b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f5a8`
C2	hex.su
VM Detect	vmxnet (PowerShell obfuskat)

Kimsuky — Perfil do malware

Kimsuky Velvet Chollima 2012 Kuzey Kore APT. Shadows of BlackwoodHotel.pdf.lnk otel spy lure. Guney Kore akademi/hükümet.

Tipo de malware

Backdoor

Linguagem de programação

PowerShell/VBScript

Protocolo C2

HTTP

Sistemas-alvo

Guney Kore/NATO

Capacidades e comportamento

Uzaktan Erişim & Kontrol

Keylogger

Ekran Görüntüsü

Webcam Erişimi

Dosya Yönetimi

Süreç Yönetimi

Komut Yürütme

Kalıcılık Mekanizması

Lista IOC (2 indicadores)

IOC — Kimsuky

# DOMAIN
hex.su

# DOMAIN
1mb.com

Tipo	Valor	Nota
domain	hex.su
domain	1mb.com

Kimsuky — Ver perfil completo →

Servidores C2 (1 servidores registrados para esta família)

Endereço	Tipo	Porta	Protocolo	Status	País
hex.su	domain	443	HTTPS	inactive	—

Os endereços C2 são fornecidos apenas a partir de amostras de malware verificadas manualmente pela equipe KEYDAL. O uso comercial é proibido.