Kelompok peretasan Korea Utara yang dikenal sebagai Kimsuky diamati dalam serangan baru-baru ini menggunakan pembungkus RDP yang dibuat khusus dan alat proxy untuk secara langsung mengakses mesin yang terinfeksi.
Ini adalah tanda pergeseran taktik untuk Kimsuky, menurut Ahnlab Security Intelligence Center (ASEC), yang menemukan kampanye.
ASEC mengatakan peretas Korea Utara sekarang menggunakan beragam alat akses jarak jauh yang disesuaikan alih -alih hanya mengandalkan pintu belakang yang bising seperti Pebbledash, yang masih digunakan.
Rantai serangan terbaru Kimsuky
Rantai infeksi terbaru dimulai dengan email phishing tombak yang berisi lampiran file jalan pintas (.lnk) yang disamarkan sebagai PDF atau dokumen Word.
Email berisi nama penerima dan nama perusahaan yang benar, menunjukkan bahwa Kimsuky melakukan pengintaian sebelum serangan.
Membuka Pemicu File .lnk PowerShell atau MSHTA untuk mengambil muatan tambahan dari server eksternal, termasuk:
- Pebbledash, pintu belakang Kimsuky yang dikenal menyediakan kontrol sistem awal.
- Versi yang dimodifikasi dari alat pembungkus RDP open-source, memungkinkan akses RDP yang persisten dan langkah-langkah keamanan bypass.
- Alat proxy untuk melewati batasan jaringan pribadi, memungkinkan penyerang untuk mengakses sistem bahkan ketika koneksi RDP langsung diblokir.
Pembungkus RDP khusus
RDP Wrapper adalah alat sumber terbuka yang sah yang dirancang untuk mengaktifkan fungsionalitas Protokol Desktop Remote (RDP) pada versi Windows yang tidak mendukungnya secara alami, seperti Windows Home.
Ini bertindak sebagai lapisan tengah, memungkinkan pengguna untuk mengaktifkan koneksi desktop jarak jauh tanpa memodifikasi file sistem.
Versi Kimsuky mengubah fungsi ekspor untuk memotong deteksi antivirus dan kemungkinan membedakan perilakunya cukup untuk menghindari deteksi berbasis tanda tangan.
Sumber: ASEC
Keuntungan utama menggunakan pembungkus RDP khusus adalah penghindaran deteksi, karena koneksi RDP sering diperlakukan sebagai sah, memungkinkan Kimsuky tetap di bawah radar lebih lama.
Selain itu, ia menyediakan remote control berbasis GUI yang lebih nyaman, dibandingkan dengan akses shell melalui malware, dan dapat memotong firewall atau pembatasan NAT melalui relay, memungkinkan akses RDP dari luar.
Asec Laporan Itu begitu Kimsuky mengamankan pijakan mereka di jaringan, mereka menjatuhkan muatan sekunder.
Ini termasuk keylogger yang menangkap penekanan tombol dan menyimpannya dalam file teks di direktori sistem, infostealer (forcecopy) yang mengekstraksi kredensial yang disimpan pada browser web, dan reflectiveloader berbasis PowerShell yang memungkinkan eksekusi muatan dalam memori.
Secara keseluruhan, Kimsuky adalah a gigih Dan berevolusi ancaman dan salah satu Korea Utara paling produktif Espionage Cyber kelompok ancaman yang dikhususkan untuk mengumpulkan kecerdasan.
Temuan terbaru ASEC menunjukkan bahwa aktor ancaman beralih ke metode akses jarak jauh yang lebih cepat untuk waktu tinggal yang berkepanjangan dalam jaringan yang dikompromikan.
