Kimsuky: Neue Phishing-Techniken und Malware-Kampagnen enthüllt

SEOUL / MÜNCHEN (IT BOLTWISE) – Die nordkoreanische Hackergruppe Kimsuky, auch bekannt als Black Banshee, hat erneut mit ausgeklügelten Cyberangriffen auf sich aufmerksam gemacht. Seit 2012 aktiv, zielt die Gruppe auf Länder wie Südkorea, Japan und die USA ab, um sensible Informationen zu stehlen und geopolitische Vorteile zu erlangen.

Die jüngsten Aktivitäten der Kimsuky-Gruppe zeigen eine beunruhigende Weiterentwicklung ihrer Phishing- und Malware-Techniken. Eine kürzlich entdeckte Angriffskette offenbart, wie die Gruppe ZIP-Dateien mit schädlichen Inhalten nutzt, um ihre Ziele zu kompromittieren. Diese Dateien enthalten komplexe Skripte, die darauf abzielen, Sicherheitsmechanismen zu umgehen und unbemerkt in Systeme einzudringen.

Im Zentrum dieser Kampagne steht eine ZIP-Datei mit vier wesentlichen Komponenten: einem stark verschleierten VBScript, einem PowerShell-Skript und zwei kodierten Textdateien. Das VBScript nutzt Funktionen wie chr() und CLng(), um dynamisch Befehle zu generieren und auszuführen, wodurch es signaturbasierte Antivirenlösungen umgeht. Nach der Entschlüsselung aktiviert es das PowerShell-Skript, das dann weitere bösartige Aktivitäten ausführt.

Das PowerShell-Skript dekodiert base64-kodierte Daten und sammelt einzigartige Systemkennungen wie die BIOS-Seriennummer. Es erstellt zudem ein spezifisches Verzeichnis im temporären Ordner, um Angriffsdateien zu speichern. Besonders bemerkenswert ist der Selbstzerstörungsmechanismus für VMware-Umgebungen, der alle zugehörigen Dateien löscht, um eine Analyse in virtualisierten Sandboxes zu verhindern.

Die Malware umfasst elf verschiedene Funktionen, die von der Datenausleitung über den Diebstahl von Browserdaten bis hin zur Kommunikation mit Command-and-Control-Servern reichen. Diese Funktionen ermöglichen es der Malware, sensible Informationen wie Cookies, Anmeldedaten und Hardwaredetails zu stehlen, in ZIP-Dateien zu komprimieren und an entfernte Server zu senden. Die dekodierte 2.log-Datei unterstützt zudem Keylogging und die Überwachung der Zwischenablage.

Kimsukys Fokus auf netzwerkbezogene Daten deutet auf aktive Aufklärungsmaßnahmen für zukünftige Angriffe hin. Persistenzmechanismen wie die Registrierung von Aufgaben gewährleisten einen langfristigen Zugriff auf kompromittierte Systeme. Diese Kampagne spiegelt eine zeitintensive, mehrstufige Strategie wider, die verschiedene Skripte und Nutzlasten miteinander verknüpft, um maximale Wirkung zu erzielen.

Angesichts der fortschreitenden Techniken von Bedrohungsakteuren wie Kimsuky wird der Einsatz renommierter Sicherheitslösungen immer wichtiger. Tools wie K7 Antivirus, unterstützt durch die proaktive Erkennung von K7 Labs, sind unerlässlich, um solche ausgeklügelten Stealer zu bekämpfen und sensible Daten vor sich entwickelnden Cyberbedrohungen zu schützen.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!