Điểm chính

  • Nhóm tin tặc Kimsuky thực hiện chiến dịch tấn công bằng tài liệu Hangul Word Processor (HWP) giả mạo hồ sơ xin việc.
  • Mã độc tống tiền Funhouse được triển khai thông qua chuỗi script và công cụ Quasar RAT nhằm chiếm quyền điều khiển từ xa.
  • Các chuyên gia bảo mật khuyến nghị người dùng cần cảnh giác với tệp đính kèm lạ và cập nhật phần mềm thường xuyên.

Các nhà nghiên cứu từ Trung tâm Tình báo An ninh AhnLab (ASEC) đã phát hiện một chiến dịch tấn công mạng do nhóm tin tặc Kimsuky tiến hành, sử dụng tài liệu giả mạo để phát tán mã độc tống tiền Funhouse.

Kỹ thuật phát tán mã độc qua tài liệu giả mạo

Chiến dịch này lợi dụng các tệp tin Hangul Word Processor (HWP) ngụy trang dưới dạng hồ sơ xin việc để nhắm vào các mục tiêu cụ thể. Tệp tin độc hại chứa dữ liệu OLE nhúng, tự động trích xuất các tệp thực thi vào thư mục tạm của Windows khi người dùng mở tài liệu nhằm qua mặt các biện pháp kiểm soát an ninh.

Cơ chế lây nhiễm và phân tích kỹ thuật

Quy trình tấn công kết hợp chuỗi script gồm Batch, VBS và PowerShell cùng công cụ Quasar RAT để duy trì quyền truy cập từ xa trước khi thực thi mã độc mã hóa dữ liệu. Kết quả phân tích cho thấy Funhouse có nhiều điểm tương đồng về phương thức mã hóa và cấu trúc với dòng mã độc tống tiền Endpoint trước đó.

Chỉ số thỏa hiệp và khuyến nghị phòng thủ

Báo cáo cũng cung cấp các chỉ số thỏa hiệp bao gồm mã MD5 của các mẫu mã độc và địa chỉ IP của máy chủ điều khiển C2. Người dùng và quản trị viên hệ thống được khuyến cáo nâng cao cảnh giác với các tệp tin HWP không rõ nguồn gốc, xác thực người gửi và tích hợp dữ liệu tình báo mối đe dọa để phát hiện sớm các hành vi bất thường.