Kimsuky APT -- Shadows of BlackwoodHotel.pdf.lnk Çift Uzantı, Otel Casusluk Temalı Lure | Yüksek

Manuel Statik Analiz — Kimsuky APT | Tehdit: YUKSEK

Datei Kimliği

SHA256	`56a90f247ccffb6394489b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0`
Dateiname	Shadows of BlackwoodHotel.pdf.lnk
Tip	Windows LNK kısayol (çift uzantı: .pdf.lnk)
Größe	94.489 byte (94KB)

Casusluk Temalı Otel Lure

APT Grup Modus Operandi: Otel casusluk temalı hedefli spear phishing!

Shadows of BlackwoodHotel.pdf.lnk
-- "Shadows of BlackwoodHotel" → otel casusluk teması
-- Dark Hotel APT (OceanLotus/DarkHotel) referansı!
-- Otel Wi-Fi ağları üzerinden hedef enfeksiyonu senaryosu
-- PDF görünümlü LNK dosyası → çift uzantı aldatmacası
-- ".pdf" görünür uzantı → ".lnk" asıl uzantı (Windows gizler)
-- Yüksek değerli hedef: iş seyahati yapan yöneticiler

Çift Uzantı LNK Tekniği

Shadows of BlackwoodHotel.pdf.lnk
-- Windows: "bilinen uzantıları gizle" varsayılan = .lnk gizlenir
-- Kullanıcı sadece: "Shadows of BlackwoodHotel.pdf" görür
-- PDF ikonuna benzetilmiş LNK → kurban PDF zanneder
-- Tıkla → PowerShell/cmd tetiklenir → payload indirilir
-- MarkOfTheWeb bypass: email eki olarak gönderilmişse

Kimsuky APT Hakkında

Kimsuky (Velvet Chollima, Black Banshee) 2012'den beri aktif Kuzey Kore APT grubudur. Güney Kore hükümeti, düşünce kuruluşları, nükleer araştırmacılar, akademisyenler ve gazetecileri hedefler. Spear phishing uzmanı, HWP (Hangul) dokümanları da kullanır. Kimchi, AppleSeed, BabyShark implantları dağıtır.

IOC

SHA256	`56a90f247ccffb6394489b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0`
Lure	Shadows of BlackwoodHotel.pdf.lnk (çift uzantı)
Teknik	LNK dosyası + PDF kılığı + otel casusluk teması

Kimsuky — Malware-Profil

Kimsuky Velvet Chollima 2012 Kuzey Kore APT. Shadows of BlackwoodHotel.pdf.lnk otel spy lure. Guney Kore akademi/hükümet.

Malware-Typ

Backdoor

Programmiersprache

PowerShell/VBScript

C2-Protokoll

HTTP

Zielsysteme

Guney Kore/NATO

Fähigkeiten & Verhalten

Uzaktan Erişim & Kontrol

Keylogger

Ekran Görüntüsü

Webcam Erişimi

Dosya Yönetimi

Süreç Yönetimi

Komut Yürütme

Kalıcılık Mekanizması

IOC-Liste (1 Indikatoren)

IOC — Kimsuky

# SHA256
56a90f247ccffb6394489b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0

Typ	Wert	Bemerkung
sha256	56a90f247ccffb6394489b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0	len=63

Kimsuky — Zum vollständigen Profil →

C2-Server (1 erfasste Server für diese Familie)

Adresse	Typ	Port	Protokoll	Status	Land
hex.su	domain	443	HTTPS	inactive	—

C2-Adressen stammen ausschließlich aus vom KEYDAL-Team manuell verifizierten Malware-Samples. Kommerzielle Nutzung ist untersagt.