Kimsuky -- Shadows_BlackwoodHotel.pdf.lnk, PS vmxnet VM Tespiti, hex.Su C2, Kuzey Kore APT | Kritik

Manuel Statik Analiz — Kimsuky (Kuzey Kore APT) | Tehdit: KRITIK

Dosya Kimliği

SHA256	`56a90f247ccffb6394489b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f5a8`
Dosya Adı	Shadows of BlackwoodHotel.pdf.lnk
Tip	Windows LNK (kısayol) PDF taklidi
String Sayisi	405

PDF Kısayol Tuzağı

Kamuflaj: ".pdf.lnk" — Windows dosya uzantısı gizlenince ".pdf" gibi görünür!

Shadows of BlackwoodHotel.pdf.lnk
-- Kurgusal roman/edebi içerik lure (akademisyen/araştırmacı hedefi?)
-- Windows'ta uzantı gizlenince: "Shadows of BlackwoodHotel.pdf" görünür

PowerShell Çok Katmanlı Obfuskasyon

function vd {
    $FVj4o6gydZ9UUvvO = @(('{0}{1}' -f 'vmxne','t'), $(-join('lckihls'...
-- ('{0}{1}' -f 'vmxne','t') = String.Format ile "vmxne"+"t" = "vmxnet"
-- VMware vmxnet ağ adaptörü = Sanal makine tespiti!
-- $(-join('lckihls'...)) = karakter sırası tersine çevirme obfuskasyonu

C2 ve IOC

hex.Su      -- .su Sovyet TLD C2 domain
1mb.com     -- Dosya paylaşım platformu (payload hosting)

Kimsuky (Kuzey Kore) Hakkında

Kimsuky (APT43/Velvet Chollima), Kuzey Kore istihbaratına (RGB) bağlı siber casusluk grubudur. Özellikle Güney Kore hükümeti, think-tank ve güvenlik araştırmacılarını hedefler. LNK dosyaları, sahte PDF'ler ve PowerShell ile HWP (Hangul) belge formatını kötüye kullanır.

IOC

SHA256	`56a90f247ccffb6394489b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f5a8`
C2	hex.su
VM Detect	vmxnet (PowerShell obfuskat)

Kimsuky — Malware Profile

Kimsuky Velvet Chollima 2012 Kuzey Kore APT. Shadows of BlackwoodHotel.pdf.lnk otel spy lure. Guney Kore akademi/hükümet.

Malware Type

Backdoor

Programming Language

PowerShell/VBScript

C2 Protocol

HTTP

Target Systems

Guney Kore/NATO

Capabilities & Behavior

Uzaktan Erişim & Kontrol

Keylogger

Ekran Görüntüsü

Webcam Erişimi

Dosya Yönetimi

Süreç Yönetimi

Komut Yürütme

Kalıcılık Mekanizması

IOC List (2 indicators)

IOC — Kimsuky

# DOMAIN
hex.su

# DOMAIN
1mb.com

Type	Value	Note
domain	hex.su
domain	1mb.com

Kimsuky — Go to Full Profile →

C2 Servers (1 recorded servers for this family)

Address	Type	Port	Protocol	Status	Country
hex.su	domain	443	HTTPS	inactive	—

C2 addresses are provided only from malware samples manually verified by the KEYDAL team. Commercial use is prohibited.