Kimsuky -- Shadows_BlackwoodHotel.pdf.lnk, PS vmxnet VM Tespiti, hex.Su C2, Kuzey Kore APT | Kritik

Manuel Statik Analiz — Kimsuky (Kuzey Kore APT) | Tehdit: KRITIK

Datei Kimliği

SHA256	`56a90f247ccffb6394489b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f5a8`
Dateiname	Shadows of BlackwoodHotel.pdf.lnk
Tip	Windows LNK (kısayol) PDF taklidi
String Sayisi	405

PDF Kısayol Tuzağı

Kamuflaj: ".pdf.lnk" — Windows dosya uzantısı gizlenince ".pdf" gibi görünür!

Shadows of BlackwoodHotel.pdf.lnk
-- Kurgusal roman/edebi içerik lure (akademisyen/araştırmacı hedefi?)
-- Windows'ta uzantı gizlenince: "Shadows of BlackwoodHotel.pdf" görünür

PowerShell Çok Katmanlı Obfuskasyon

function vd {
    $FVj4o6gydZ9UUvvO = @(('{0}{1}' -f 'vmxne','t'), $(-join('lckihls'...
-- ('{0}{1}' -f 'vmxne','t') = String.Format ile "vmxne"+"t" = "vmxnet"
-- VMware vmxnet ağ adaptörü = Sanal makine tespiti!
-- $(-join('lckihls'...)) = karakter sırası tersine çevirme obfuskasyonu

C2 ve IOC

hex.Su      -- .su Sovyet TLD C2 domain
1mb.com     -- Dosya paylaşım platformu (payload hosting)

Kimsuky (Kuzey Kore) Hakkında

Kimsuky (APT43/Velvet Chollima), Kuzey Kore istihbaratına (RGB) bağlı siber casusluk grubudur. Eigenschaftle Güney Kore hükümeti, think-tank ve güvenlik araştırmacılarını hedefler. LNK dosyaları, sahte PDF'ler ve PowerShell ile HWP (Hangul) belge formatını kötüye kullanır.

IOC

SHA256	`56a90f247ccffb6394489b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f5a8`
C2	hex.su
VM Detect	vmxnet (PowerShell obfuskat)

Kimsuky — Malware-Profil

Kimsuky Velvet Chollima 2012 Kuzey Kore APT. Shadows of BlackwoodHotel.pdf.lnk otel spy lure. Guney Kore akademi/hükümet.

Malware-Typ

Backdoor

Programmiersprache

PowerShell/VBScript

C2-Protokoll

HTTP

Zielsysteme

Guney Kore/NATO

Fähigkeiten & Verhalten

Uzaktan Erişim & Kontrol

Keylogger

Ekran Görüntüsü

Webcam Erişimi

Dosya Yönetimi

Süreç Yönetimi

Komut Yürütme

Kalıcılık Mekanizması

IOC-Liste (2 Indikatoren)

IOC — Kimsuky

# DOMAIN
hex.su

# DOMAIN
1mb.com

Typ	Wert	Bemerkung
domain	hex.su
domain	1mb.com

Kimsuky — Zum vollständigen Profil →

C2-Server (1 erfasste Server für diese Familie)

Adresse	Typ	Port	Protokoll	Status	Land
hex.su	domain	443	HTTPS	inactive	—

C2-Adressen stammen ausschließlich aus vom KEYDAL-Team manuell verifizierten Malware-Samples. Kommerzielle Nutzung ist untersagt.