Американская инфосек компания
Cybereason в своем материале о новом выявленном вредоносном инструментарии
KGH_SPY, который используется северокорейской
APT Kimsuky, демонстрирует каким на самом деле должен быть
отчет по результатам исследований.
Исследуя вредоносную инфраструктуру
Kimsuky американские ресерчеры обнаружили новый вредоносный комплект, нацеленный, в первую очередь, на кибершпионаж. Принадлежность его северокорейским хакерам подтверждается использованием той же инфраструктуры, которая была задействована
Kimsuky в конце 2018 - начале 2019 в атаке
BabyShark, нацеленной на американские исследовательские институты. Тогда хакеры из
КНДР использовали авторский вредонос, который распространялся посредством фишинговых писем от имени реально существующего в
США специалиста по ядерным технологиям. Спустя пару месяцев атака распространилась на компании, связанные с криптовалютами. Мы писали про нее в нашем
обзоре активности
Kimsuky.
Свой отчет исследователи назвали "Назад в будущее", поскольку для затруднения работы киберкриминалистов хакеры исправили временные метки вредоносных модулей на 2016 год. Хотя отдельные домены, жестко зашитые в код
KGH_SPY, были зарегистрированы в период с января 2019 по август 2020 года.
В этот раз северокорейцы использовали фишинг с приманками в виде двух документов, посвященных проблемам с правами человека в
КНДР.
Содержащиеся в них вредоносные макросы собирали информацию об атакованной системе, отправляли ее управляющему центру, после чего загружали полезную нагрузку, состоящую из нескольких модулей, включающих загрузчик, основной модуль и несколько дополнительных компонентов, среди которых специализированный инфостиллер.
Самым неприятным является то, что некоторые модули
KGH_SPY на конец октября не обнаруживались ни одним антивирусным решением.
Кроме того, исследователи нашли еще один оригинальный загрузчик северокорейцев, который назвали
CSPY Downloader, который, как предполагается, может быть отладочной версией нового, пока еще неактивного, вредоноса.
Возвращаясь к мысли, высказанной нами в начале этого поста, - отчет
Cybereason нам понравился хорошим анализом и, что основное, достаточно подробным описанием TTPs, благодаря которым исследователи смогли сделать атрибуцию новых вредоносных программ как принадлежащих
APT Kimsuky. Так бы всегда.