Kimsuky-Hackergruppe nutzt LNK- und JSE-Anhänge, um Recruiter, Krypto-Nutzer und Verteidigungsbeamte anzugreifen

Krypto-Nutzer wurden durch Inhalte rund um Solana-Meme-Coin angelockt. Verteidigungsbeamte bekamen Dokumente zugesandt, die mit dem K-ICTC International Scientific Combat Management Competition in Verbindung standen. Personal von Graduate Schools wurde mit scheinbar echten Einschreibedokumenten konfrontiert.

In jedem Fall war das Ziel identisch: einen Fuß in die Tür zu bekommen, ohne Alarm zu schlagen.

Analysten von LogPresso stellten in einem Bericht, der Cyber Security News zur Verfügung gestellt wurde, fest, dass alle vier Kampagnen einen konsistenten Angriffsablauf verfolgten, der mit der Anzeige eines Köderdokuments begann, während im Hintergrund eine bösartige Last abgelegt wurde, gefolgt von der Sicherung einer Persistenz und schließlich der Einrichtung eines Fernsteuerkanals.

Technik und Auswirkungen

Die Kampagnen unterschieden sich hauptsächlich durch ihre Lockthemen, die Einstiegsmethoden und die Command-and-Control-Infrastruktur. Die Angreifer zeigten deutliche Anzeichen für hohe Sophistikaion.

Statt offensichtlich verdächtiger Server leiteten sie die Kommunikation über vertrauenswürdige Plattformen wie GitHub Raw APIs, Microsoft CDN und VSCode-Tunnel weiter. Dadurch vermischte sich ihr Datenverkehr mit normalem Aktivitätsmustern, was es reputationsbasierten Sicherheitstools erschwert, sie zu erkennen.

Auch die Zielidentifizierung war personalisiert, wobei die Opfer über eindeutige IDs, IP-Adressen und MAC-Adressen verfolgt wurden. Eines der konsistentesten Befunde über alle vier Kampagnen hinweg war ein aggressives Abwehrumgehen bereits von Anfang an.

Sicherheitslage und Risiko

Innerhalb von fünf Minuten nach dem Öffnen der Köderdatei durch ein Opfer deaktivierte die Malware bereits den Windows UAC, registrierte Ausnahmen für Defender und integrierte sich in den Taskplaner, um nach Neustarts zu überleben.

LogPresso wies darauf hin, dass eine Blockierung auf der Grundlage einzelner Indikatoren für Kompromittierungen (IoCs) deutliche Grenzen aufweist und dass Verteidiger eine verhaltensbasierte Erkennung benötigen, die die gesamte Angriffsabdeckung abdeckt. Kimsuky-Hacker nutzen LNK- und JSE-Köder.

Drei der vier Kampagnen setzten auf LNK-Dateien, die so getarnt waren, als wären sie PDFs. Beim Öffnen einer solchen Datei wurden zwei versteckte Payloads freigesetzt. Der eine Teil zeigte leise ein überzeugendes Scheindokument an, um das Opfer unvorsichtig zu halten.

Technischer Hintergrund

Der andere speicherte eine sekundäre LNK-Datei im Windows-Startordner, um Persistenz herzustellen, bevor PowerShell-Skripte vom Server des Angreifers heruntergeladen und ausgeführt wurden. Der gesamte Prozess wurde in weniger als fünf Minuten abgeschlossen und ließ dem menschlichen Erkennen kaum Raum.

Die vierte Kampagne verfolgte einen anderen Ansatz und nutzte eine JSE-Datei mit einer doppelten Erweiterung im Format.hwpx.jse. Da Windows Erweiterungen standardmäßig ausblendet, sah das Opfer ein Dokument, das wie eine koreanische HWP-Datei wirkte.

Nach dem Öffnen entschlüsselte das Skript eine versteckte DLL mithilfe des integrierten Tools certutil und lud diese über rundll32.exe, einen legitimen Windows-Komponenten, ein.

Technischer Hintergrund

Diese Kampagne ging noch einen Schritt weiter, indem sie einen VSCode-Tunnel nutzte, um einen persistenten Fernzugriff aufrechtzuerhalten und dabei auf Microsofts eigene signierte Binärdateien zurückgriff, um unbemerkt zu bleiben.

Missbrauch legitimer Dienste für C2 Ein durch alle Kampagnen laufendes Merkmal war der intensive Einsatz von legitimen Diensten durch Kimsuky für Command-and-Control-Operationen. GitHub-Repositories speicherten Payloads und sammelten Opferdaten. Der Microsoft CDN diente zur Bereitstellung von Dateien, ohne Netzwerkalarme auszulösen.

VSCode-Tunnel ermöglichten einen persistenten Fernzugriff über GitHub OAuth-Authentifizierung. In einem Fall fungierte ein privater Server unter nelark.icu als C2, während eine weitere Kampagne Daten über die koreanische Website yespp.co.kr leitete.

Technik und Auswirkungen

Die Analyse von LogPresso verdeutlicht, dass sich Verteidiger nicht allein auf das Blockieren von Domains oder Dateihashes verlassen können.

Da Kimsuky seine Infrastruktur schnell rotiert, sollten Organisationen auf LNK- oder JSE-Dateien mit doppelten Dateierweiterungen achten, unerwartete Einträge im Task-Scheduler beobachten, die sich als OneDrive- oder Intel-Dienste tarnen, und jedes Vorkommen einer Deaktivierung der UAC außerhalb normaler administrativer Aktivitäten melden.

Der Aufbau von Erkennungsmethoden auf Basis von Verhaltensmustern statt statischer Indikatoren ist der einzige verlässliche Weg, um einer so anpassungsfähigen Gruppe vorauszu bleiben. Indikatoren für Kompromittierung (IoCs):