Kimsuky: технический профиль семейства

Обзор и происхождение​

Kimsuky — северно-корейская APT-группа, активная с начала 2010-х годов и отслеживаемая под множеством псевдонимов (Thallium, APT-C-26, Velvet Chollima, Mercury и др.). Классификация malware_type «botnet» отражает наличие зафиксированной инфраструктуры управления: в ThreatFox на момент подготовки профиля зарегистрированы записи категорий botnet_cc (серверы C&C) и payload_delivery (серверы раздачи нагрузки).

Основная цель группы — разведка и кража данных: учётных записей почты, документов, учётных данных. Жертвы — исследовательские и аналитические организации, университеты, госструктуры, оборонная и политическая сфера, преимущественно в Южной Корее, Японии, США и России. Целевая среда — рабочие станции Windows; известны также кампании против мобильных платформ и облачных сервисов.

Kimsuky фигурирует в каталоге Malpedia (Windows-раздел), что подтверждает её статус как самостоятельной отслеживаемой единицы. Инструментарий группы включает семейства и утилиты, публиковавшиеся под именами BabyShark, AppleSeed, Konni/COPPERHEDGE, RandomQuery и другие; общая черта — ручное управление, длительное закрепление и активное использование фишинга.

Функциональные модули​

• Фишинговая доставка. Основной канал — целевые письма с вложениями (HWP, DOC/DOCX с макросами, ISO/IMG, LNK, CHM) и поддельные страницы входа, имитирующие порталы почты и сервисов; тег «powershell» в свежих IOC-записях указывает на использование PowerShell-скриптов в цепочке доставки.
  
• Загрузчик/дроппер. Скриптовые и документные компоненты, скачивающие и запускающие основную нагрузку с серверов payload_delivery.
  
• Бэкдор/RAT. Основные семейства (AppleSeed, Konni и родственные) обеспечивают исполнение команд оператора, загрузку/выгрузку файлов, скриншоты, управление процессами.
  
• Кейлоггер и сбор данных. Перехват нажатий клавиш, сбор сохранённых учётных данных, документов и содержимого буфера обмена; отдельные кампании нацелены на кражу сессий веб-почты.
  
• Закрепление. Реестровые Run-ключи, задачи планировщика, ярлыки в папке автозагрузки, а также внедрение в легитимные процессы.
  
• C&C-коммуникация. HTTP/HTTPS-каналы к серверам botnet_cc, в ряде кампаний — обмен через легитимные облачные сервисы и скомпрометированные веб-ресурсы.
  

Техники и API​

Подтверждённый на уровне семейства набор техник (по открытым отчётам и классификации MITRE ATT&CK): фишинг с вложениями (T1566.001), исполнение через PowerShell и mshta, закрепление через Run-ключи и планировщик (T1547), кейлоггирование (T1056), сбор буфера обмена, инъекции в процессы (VirtualAllocEx/WriteProcessMemory/CreateRemoteThread — типично для компонентов семейства), обход UAC, шифрование конфигурации (AES/RC4-подобные схемы в разных билдах). Для защитников значимы телеметрия создания процессов от winword/excel/hwp к powershell/cmd, аномальные сетевые соединения к свежезарегистрированным доменам и запись в Run-ключи.

IOC и индикаторы​

В базе ThreatFox на момент подготовки профиля зафиксированы 2 свежие IOC-записи для Kimsuky: типы — domain и url; категории — botnet_cc (сервер управления) и payload_delivery (сервер раздачи нагрузки); теги — APT, kimsuky, powershell. Конкретные значения индикаторов в текст не включаются; карточки образцов и ссылки на источники добавляются ниже рендерером. Дополнительно стоит отслеживать в собственных логах обращения к доменам с недавней регистрацией, используемым для C&C, и URL-пути, характерные для раздачи исполняемых файлов и скриптов.

Обнаружение​

• Процессная телеметрия: цепочки office-приложение → powershell/cmd/mshta; PowerShell со скрытым окном, загрузкой скриптов из сети и обфусцированными командными строками.
  
• Реестр и автозагрузка: модификация Run-ключей HKCU/HKLM, создание задач планировщика с подозрительными именами.
  
• Файлы: исполняемые файлы и скрипты в каталогах %AppData%, %Temp%, %ProgramData%; документы с макросами, создающие PE-файлы.
  
• Сеть: HTTP(S)-соединения к индикаторам из ThreatFox (botnet_cc/payload_delivery), периодические beacon-запросы, обращение к свежим доменам.
  
• YARA/сигнатуры: ориентироваться на публичные правила для AppleSeed, Konni и связанных загрузчиков Kimsuky; точные сигнатуры в данной статье не приводятся.
  
• Почтовый шлюз: детектирование вложений HWP/LNK/ISO и поддельных страниц входа, характерных для кампаний группы.
  

Защита и снижение риска​

• Ограничить исполнение скриптов: политика выполнения PowerShell, Constrained Language Mode, блокировка mshta/wscript из офисных процессов.
  
• Application control (WDAC/AppLocker) для пользовательских рабочих станций, особенно в аналитических и исследовательских подразделениях.
  
• Блокировать вложения HWP, LNK, ISO/IMG и макросы из внешней почты; помечать письма с внешних доменов.
  
• MFA с фишинг-устойчивыми методами и мониторинг аномальных входов в веб-почту — Kimsuky активно крадёт именно учётные записи.
  
• Сегментация рабочих станций, ограничение исходящего трафика через прокси с логированием и блокировкой по категориям.
  
• EDR с политикой оповещения на инъекции и закрепление; регулярное обновление IOC-списков из abuse.ch.
  

Что делать при подозрении на заражение​

1. Изолировать хост от сети, сохранив сессию EDR; исходить из возможности удалённого управления оператором.
   
2. Сохранить телеметрию: процессы, автозапуск, сетевые соединения, события PowerShell, артефакты файловой системы.
   
3. Проверить закрепление: Run-ключи, задачи планировщика, автозагрузка, службы; найти вторичные компоненты и дропперы.
   
4. Оценить компрометацию учётных данных: сброс паролей и отзыв сессий затронутых пользователей, проверка правил пересылки почты.
   
5. Определить масштаб: поиск по IOC (домены/URL из ThreatFox) и поведенческим паттернам на остальных хостах.
   
6. Удалить подтверждённые артефакты; если целостность системы нельзя подтвердить — переустановить ОС из доверенного образа.
   
7. Уведомить CERT/профильные органы, если кампания соответствует целевой активности Kimsuky.
   

Ограничения текущего анализа​

Профиль построен на агрегированных данных IOC-баз (ThreatFox) и общедоступных знаниях о семействе; статический и динамический разбор конкретных образцов в рамках данной публикации не проводился. Не подтверждены для текущих записей: точная версия нагрузки (AppleSeed/Konni/иная), конкретные техники закрепления и инъекций, схема шифрования конфигурации и протокол C&C. Теги «powershell» и категории botnet_cc/payload_delivery указывают на скриптовую цепочку доставки и активную C&C-инфраструктуру, но детали цепочки заражения требуют анализа образцов, карточки которых предоставляются рендерером ниже.

Источники​

1. ThreatFox — IOC Kimsuky
   
2. Malpedia — Kimsuky
   

История обновлений статьи​

• 12.10.2026 — Опубликована первая версия материала.