Konni: технический профиль семейства

Обзор и происхождение​

Konni — Windows-семейство вредоносного ПО класса RAT/ботнет, связываемое исследователями с северокорейской активностью и тесно пересекающееся с кластером Kimsuky. Семейство активно как минимум с середины 2010-х годов и фигурирует в каталоге Malpedia (Windows-раздел) как самостоятельная отслеживаемая единица. Основная цель — удалённое управление скомпрометированными машинами, разведка и кража данных: документов, учётных записей почты, ключей и конфигураций.

Жертвы — исследовательские и аналитические организации, университеты, госструктуры, оборонная и политическая сфера, преимущественно в Южной Корее, Японии, США и России. Целевая среда — рабочие станции Windows; известны также кампании против мобильных платформ и облачных сервисов.

Типичный вектор доставки — целевой фишинг с вложениями (документы, в том числе формата HWP, характерного для корейского офисного ПО, а также ярлыки и скрипты), имитирующими легитимные материалы. Актуальная активность подтверждается свежими записями в ThreatFox: зафиксированы индикаторы категории botnet_cc — домены серверов управления, что указывает на эксплуатацию семейства на момент подготовки профиля.

Функциональные модули​

• Модуль доставки и первичного запуска: цепочка начинается с вредоносного документа или скрипта (в том числе PowerShell), который загружает и запускает основную нагрузку; известны многоступенчатые лоадеры с декодированием полезной нагрузки в памяти.
  
• RAT-модуль: основной компонент с командами удалённого управления — исполнение произвольных команд, управление файловой системой, съёмка экрана, управление процессами.
  
• Модуль сбора данных: кейлоггинг, сбор сохранённых учётных данных, перечисление дисков и файлов, кража документов и ключей/конфигураций (в отдельных кампаниях — SSH-ключей и конфигураций облачных сервисов).
  
• Модуль закрепления: обеспечение автозапуска после перезагрузки через реестр и задачи планировщика.
  
• Модуль связи с C2: периодические HTTP-запросы к серверам управления с передачей собранных данных и получением команд.
  

Техники и API​

• Закрепление через реестр (ветки автозапуска Run) и запланированные задачи; известны также механизмы, использующие ярлыки и скрипты-загрузчики.
  
• Исполнение PowerShell-команд на ранних стадиях цепочки — что отражено и в тегах свежих IOC-записей.
  
• Типичные API-примитивы RAT-функциональности: работа с процессами (CreateProcess, CreateToolhelp32Snapshot), файловой системой (FindFirstFile/FindNextFile, CopyFile), реестром (RegSetValueEx), вводом для кейлоггинга (GetAsyncKeyState, GetKeyboardState), съёмкой экрана через GDI.
  
• Обфускация строк и конфигурации, кодирование трафика; в ряде версий — упаковка и запуск нагрузки в памяти для затруднения статического анализа.
  
• Сбор сведений о системе (имя хоста, версия ОС) для идентификации бота на C2.
  

IOC и индикаторы​

В базе ThreatFox на момент подготовки профиля зафиксирована свежая запись для Konni: тип — domain, категория активности — botnet_cc (сервер управления ботнета), теги — APT, Konni, powershell. Конкретные значения доменов в тексте не публикуются; актуальные индикаторы доступны через карточки источников ниже. Для семейства характерны домены C2, оформленные под легитимные ресурсы, и смена инфраструктуры между кампаниями. Карточки образцов, если они привязаны к записи, предоставляются ниже в скрытом разделе рендерером.

Обнаружение​

• Процессная телеметрия: цепочки вида офисного документа/скрипта → PowerShell → загрузка исполняемого файла; PowerShell с загрузкой содержимого из сети и запуском в памяти.
  
• Реестр и планировщик: появление новых значений автозапуска и задач, ссылающихся на исполняемые файлы в пользовательских каталогах (%APPDATA%, %TEMP%).
  
• Сеть: периодические HTTP-запросы к редким доменам с однотипным поведением (beacon-паттерн), нехарактерные для профиля организации; сопоставление с актуальными списками botnet_cc из ThreatFox.
  
• Файлы: исполняемые файлы в пользовательских каталогах без подписи; документы с макросами/скриптами, декодирующими нагрузку.
  
• YARA: сигнатуры на характерные строки конфигурации и упаковщики, используемые в кампаниях Konni; ориентироваться на публичные репозитории правил, привязанные к Malpedia-странице семейства.
  

Защита и снижение риска​

• Ограничить исполнение макросов и скриптов из документов, полученных по почте; блокировать PowerShell в ограниченном языковом режиме и логировать его использование.
  
• Application control (WDAC/AppLocker) для запрета запуска из %TEMP%, %APPDATA% и вложений почты.
  
• Фильтрация вложений, изоляция почтовых превью, обучение пользователей целевому фишингу с учётом региональной специфики (HWP-вложения).
  
• EDR с покрытием закрепления через реестр/планировщик и инжекционных техник.
  
• Сегментация рабочих станций и контроль исходящих соединений (прокси, DNS-фильтрация) для ограничения связи с C2.
  
• Защита учётных данных: MFA без простых обходов, ротация ключей и токенов, мониторинг аномальных входов в почтовые и облачные сервисы.
  

Что делать при подозрении на заражение​

1. Изолировать хост от сети, сохранив телеметрию EDR и журналы (процессы, сеть, PowerShell, реестр).
   
2. Исходить из возможности удалённого управления: зафиксировать активные соединения и запущенные процессы до отключения.
   
3. Проверить закрепление: автозапуск реестра, задачи планировщика, ярлыки, службы.
   
4. Оценить использование учётных данных: ротация паролей, отзыв сессий и токенов, проверка почтовых правил пересылки.
   
5. Определить масштаб: поиск по IOC (домены C2, файловые индикаторы) на других хостах, проверка бокового перемещения.
   
6. Удалить подтверждённые артефакты; если целостность системы не может быть подтверждена — переустановить ОС.
   
7. Пополнить внутренние детекты найденными индикаторами и провести пост-инцидентный разбор цепочки доставки.
   

Ограничения текущего анализа​

Профиль опирается на семейные знания и свежие IOC-записи ThreatFox; динамический и статический разбор текущих образцов в рамках данной публикации не проводился. Конкретные версии закрепления, точный набор команд C2, используемые алгоритмы кодирования трафика и текущая инфраструктура требуют подтверждения анализом актуальных образцов. Отдельные детали (набор API, конкретные механизмы доставки в свежих кампаниях) следует рассматривать как характерные для семейства в целом, а не как подтверждённые для всех наблюдаемых вариантов.

Источники​

1. ThreatFox — IOC Konni
   
2. Malpedia — Konni
   

История обновлений статьи​

• 12.10.2026 — Опубликована первая версия материала.