Kimsuky APT -- Shadows of BlackwoodHotel.pdf.lnk LNK Çift Uzantı, PS String Concat Anti-VM | Kritik

Datei Kimliği

Çift Uzantı LNK Tuzağı

Shadows of BlackwoodHotel.pdf.lnk
-- "BlackwoodHotel" = Korean/Japanese tematik yem
-- ".pdf" görünür uzantı (Windows gizler .lnk)
-- .lnk kısayol = PowerShell veya cmd çalıştırır
-- Kimsuky'nin tipik spear phishing belgesi

PowerShell Obfuskasyon + VM Tespiti

$FVj4o6gydZ9UUvvO = @(('{0}{1}' -f 'vmxne','t'), $(-join('lckihls'.
-- "{0}{1}" -f format operatörü: 'vmxne'+'t' = 'vmxnet'
-- 'vmxnet' = VMware sanal NIC sürücüsü!
-- $(-join('lckihls'...)) = dizi karıştırma tekniği
-- VM tespiti → analiz ortamında çalışmaz
hex.Su  -- .su Soviet Union TLD (eski USSR domain)

Kimsuky Hakkında

Kimsuky (APT43, Emerald Sleet), Kuzey Kore Devlet Konfidenzlik Bakanlığı'na bağlı APT grubudur. 2013'ten beri aktif. Güney Kore hükümeti, nükleer araştırma ve savunma sektörlerini hedefler. COVID dönemi aşı araştırma kurumlarını da hedefleyen spear phishing kampanyaları başlattı.

IOC