QiAnXin Threat Intelligence Center (RedDrip)
钓鱼之王 —— Kimsuky近期以多个话题针对韩国的鱼叉式钓鱼攻击活动分析 · 2022-07-25T10:23:26.000Z
返回 TI 主页 RESEARCH 数 据 驱 动 安 全 钓鱼之王 —— Kimsuky近期以多个话题针对韩国的鱼叉式钓鱼攻击活动分析 By 红雨滴团队 | 事件追踪 PDF IOC 背景 Kimsuky，别名Mystery Baby、Baby Coin、Smoke Screen、Black Banshe等，奇安信内部跟踪编号为为APT-Q-2。Kimsuky最早由卡巴斯基于2013年公开披露并命名，攻击活动最早可追溯至2012年，是疑似具有东亚国家背景的APT组织。该组织主要攻击目标为韩国，涉及国防、教育、能源、政府、医疗以及智囊团等领域，以机密信息窃取为主。通常使用社会工程学、鱼叉邮件、水坑攻击等手段投递恶意软件，拥有功能完善的恶意代码武器库。Kimsuky至今一直处于活跃状态，从2018年开始频繁开展了多起针对韩美两国特定领域人员的攻击活动 【1】 。 一直以来，Kimsuky擅于使用office文档和hwp文档进行鱼叉式钓鱼攻击，构建的hwp诱饵文档侧重于利用已知漏洞，而office文档则侧重于利用恶意宏脚本。这些钓鱼文档通常声称文档被保护，需要启用宏解锁文字内容。 hwp是韩国hansoft开发的hangul办公软件使用的文档，一般常见于针对韩国的攻击活动中。这种钓鱼攻击主要通过恶意ole内嵌对象、恶意eps及esp配合文档漏洞来进行攻击。钓鱼攻击使用的诱饵话题以半岛地缘政治为主，辅以经济民生、工程项目、加密货币等话题进行攻击。 概述 Kimsuky组织一直以来都是我们的重点关注对象。近期，奇安信威胁情报中心红雨滴团队在日常的威胁狩猎中捕获了该组织多个鱼叉式钓鱼攻击样本。攻击使用多个诱饵话题进行攻击，例如“第20届脱北者咨询委员会意见收集“、”文化体育观光部韩国政策广播院节目邀请“等话题。在此攻击活动中，攻击者使用带恶意ole对象的hwp文件进行鱼叉攻击，当受害者点击执行诱饵文件之后，将会展示一个提示内容，诱导用户进行交互，以达到执行恶意载荷的目的。从此次Kimsuky的攻击活动中，我们总结出该组织的攻击手段具有以下特点： 通过执行hwp文档中的OLE对象，将shellcode注入正常程序来执行后续操作；