Unspecified targets (spear-phishing victims) · 2026-06-15
Genians Security Center discovers North Korean ScarCruft (APT37) deploying NarwhalRAT via fake Microsoft account security alerts using LNK files, enabling keylogging and screenshot-based surveillance. [Date Occurred: Recently; Date Discovered: Recently]
MS 사칭 피싱과 Dead-drop C2 기반 APT37 NarwhalRAT 분석 · 2026-06-14
meta description: 최근 Compiled Python 기반 악성코드가 지속적으로 유포되고 있습니다. 공격자는 보안 안내문으로 위장한 ZIP 파일과 악성 LNK를 통해 PowerShell·Batch 명령을 실행하고, 최종적으로 NarwhalRAT를 설치하는 다단계 감염을 수행한 것으로 분석됩니다. | attribution sentence: 또한 NarwhalRAT은 은닉 방식과 한국 사용자 표적성을 코드 내부의 문자열 및 동작 구조에 직접 반영하고 있다는 점에서, 기존 APT37 그룹의 대표 악성코드인 RokRAT과는 차별화된 특징을 보입니다. | target sentence: [그림 1-1] 공격 흐름도 본 보고서에서는 한국 사용자를 주요 표적으로 하는 것으로 판단되는 NarwhalRAT 악성코드에 대한 심층 분석 결과를 다룹니다.
Analysis of APT37 NarwhalRAT Leveraging MS-Themed Phishing and Dead-drop C2 · 2026-06-14
meta description: Compiled Python-based malware continues to spread. Malicious LNK files execute PowerShell and batch commands, ultimately deploying NarwhalRAT. | attribution sentence: NarwhalRAT also differs from RoKRAT, a representative malware family associated with the existing APT37 group, in that its concealment method and targeting of Korean users are directly reflected in the strings and behavioral structure within the code. | target sentence: [Figure 1-1] Attack Flow This report provides an in-depth analysis of NarwhalRAT malware, which is assessed to primarily target Korean users.