Kimsuky-Hackergruppe nutzt LNK- und JSE-Anhänge, um Recruiter, Krypto-Nutzer und Verteidigungsbeamte anzugreifen

Sicherheitslage und Risiko

Innerhalb von fünf Minuten nach dem Öffnen der Köderdatei durch ein Opfer deaktivierte die Malware bereits den Windows UAC, registrierte Ausnahmen für Defender und integrierte sich in den Taskplaner, um nach Neustarts zu überleben.

LogPresso wies darauf hin, dass eine Blockierung auf der Grundlage einzelner Indikatoren für Kompromittierungen (IoCs) deutliche Grenzen aufweist und dass Verteidiger eine verhaltensbasierte Erkennung benötigen, die die gesamte Angriffsabdeckung abdeckt. Kimsuky-Hacker nutzen LNK- und JSE-Köder.

Drei der vier Kampagnen setzten auf LNK-Dateien, die so getarnt waren, als wären sie PDFs. Beim Öffnen einer solchen Datei wurden zwei versteckte Payloads freigesetzt. Der eine Teil zeigte leise ein überzeugendes Scheindokument an, um das Opfer unvorsichtig zu halten.

Technischer Hintergrund

Der andere speicherte eine sekundäre LNK-Datei im Windows-Startordner, um Persistenz herzustellen, bevor PowerShell-Skripte vom Server des Angreifers heruntergeladen und ausgeführt wurden. Der gesamte Prozess wurde in weniger als fünf Minuten abgeschlossen und ließ dem menschlichen Erkennen kaum Raum.

Die vierte Kampagne verfolgte einen anderen Ansatz und nutzte eine JSE-Datei mit einer doppelten Erweiterung im Format.hwpx.jse. Da Windows Erweiterungen standardmäßig ausblendet, sah das Opfer ein Dokument, das wie eine koreanische HWP-Datei wirkte.

Nach dem Öffnen entschlüsselte das Skript eine versteckte DLL mithilfe des integrierten Tools certutil und lud diese über rundll32.exe, einen legitimen Windows-Komponenten, ein.

Technischer Hintergrund

Diese Kampagne ging noch einen Schritt weiter, indem sie einen VSCode-Tunnel nutzte, um einen persistenten Fernzugriff aufrechtzuerhalten und dabei auf Microsofts eigene signierte Binärdateien zurückgriff, um unbemerkt zu bleiben.

Missbrauch legitimer Dienste für C2 Ein durch alle Kampagnen laufendes Merkmal war der intensive Einsatz von legitimen Diensten durch Kimsuky für Command-and-Control-Operationen. GitHub-Repositories speicherten Payloads und sammelten Opferdaten. Der Microsoft CDN diente zur Bereitstellung von Dateien, ohne Netzwerkalarme auszulösen.

VSCode-Tunnel ermöglichten einen persistenten Fernzugriff über GitHub OAuth-Authentifizierung. In einem Fall fungierte ein privater Server unter nelark.icu als C2, während eine weitere Kampagne Daten über die koreanische Website yespp.co.kr leitete.

Technik und Auswirkungen

Die Analyse von LogPresso verdeutlicht, dass sich Verteidiger nicht allein auf das Blockieren von Domains oder Dateihashes verlassen können.

Da Kimsuky seine Infrastruktur schnell rotiert, sollten Organisationen auf LNK- oder JSE-Dateien mit doppelten Dateierweiterungen achten, unerwartete Einträge im Task-Scheduler beobachten, die sich als OneDrive- oder Intel-Dienste tarnen, und jedes Vorkommen einer Deaktivierung der UAC außerhalb normaler administrativer Aktivitäten melden.

Der Aufbau von Erkennungsmethoden auf Basis von Verhaltensmustern statt statischer Indikatoren ist der einzige verlässliche Weg, um einer so anpassungsfähigen Gruppe vorauszu bleiben. Indikatoren für Kompromittierung (IoCs):