สรุปสั้น
AhnLab Security intelligence Center (ASEC) ของบริษัท AhnLab เผยแพร่รายงานเมื่อวันที่ 1 ตุลาคม 2569 ว่ากลุ่มแฮ็กเกอร์ Kimsuky เกาหลีเหนือ ใช้เอกสาร Hangul Word Processor (HWP) ที่ปลอมเป็นเรซูเมสมัครงาน เป็นจุดเริ่มของห่วงโซ่การโจมตี ซึ่งมีสคริปต์และเครื่องมือควบคุมระยะไกลจบลงด้วยการเข้ารหัสไฟล์ด้วยแรนซัมแวร์ Funhouse
การเปิดเอกสารเพียงอย่างเดียวจะแตกไฟล์ support มัลแวร์ต่าง ๆ ลงเครื่อง แต่การคลิกลิงก์ภายในเอกสารที่ชวนให้เปิด PDF ชื่อผู้สมัคร คือ สิ่งที่เริ่มขั้นถัดไปจริง ๆ ก่อนจะต่อด้วย Batch, VBS, PowerShell แบ็กดอร์ที่เขียนด้วย Python การติดตั้ง Quasar RAT และการรัน Funhouse ผ่าน Quasar
ASEC ระบุว่า Funhouse เป็นแรนซัมแวร์สายพันธุ์หนึ่งของ Endpoint ransomware และเชื่อมเคสนี้กับกิจกรรมเดิมของ Kimsuky ผ่านสคริปต์ที่คล้ายกัน การตั้งค่า Quasar RAT และลักษณะของแรนซัมแวร์ โดย Quasar ใช้ชื่อ mutex เดิมเหมือนกันในเคสเดือนกุมภาพันธ์ มิถุนายน และกันยายน 2569 แม้ชื่อไฟล์ตั้งค่า เซิร์ฟเวอร์ และอีเมลติดต่อจะเปลี่ยนไป สิ่งที่เปลี่ยนจริงคือวิธีส่งมัลแวร์ขั้นแรก ไม่ใช่ชุดเครื่องมือใหม่ทั้งหมด ทั้งนี้รายงานสาธารณะไม่ได้ระบุจำนวนเหยื่อ
รายละเอียดข่าว
เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 13 ตุลาคม 2569 อ้างอิงรายงานของ ASEC ว่าการเปลี่ยนจากไฟล์ LNK ที่ Kimsuky นิยมใช้ช่วงหลังมาเป็นเอกสาร HWP น่าจะมีเป้าหมายเพื่อลดความสงสัยของผู้รับไฟล์ เพราะเรซูเมเป็นเอกสารที่คุ้นตา โดยเฉพาะกับพนักงานฝ่ายบุคคลหรือผู้ที่ดูแลการรับสมัครงาน ก่อนหน้านี้ Kimsuky ก็เคยใช้เรซูเมและนามบัตรปลอมในแคมเปญฟิชชิงแอบอ้างเป็นผู้สรรหาบุคลากร สะท้อนวิธีออกแบบเหยื่อล่อให้กลมกลืนกับงานประจำของผู้รับ
เทคนิคการฝังไฟล์และลิงก์ที่คลิกได้ในเอกสาร HWP ก็คล้ายกับแคมเปญเอกสารวิจัยที่ Kimsuky เคยใช้ ส่วนขั้นแบ็กดอร์ Python ก็สอดคล้องกับแคมเปญไฟล์ LNK รูปเอกสารที่เคยติดตั้งแบ็กดอร์ Python ผ่านสคริปต์หลายชั้น ASEC ยังพบโค้ด batch ที่คล้ายตัวอย่างเก่าของ Kimsuky และผู้โจมตีอัปเดตส่วนนี้เป็นระยะเพื่อเป็นช่องทางคงการเข้าถึงอีกทางหนึ่ง
ประเด็นที่น่าสนใจคือการที่กลุ่มซึ่งขึ้นชื่อเรื่องจารกรรมข้อมูลนำแรนซัมแวร์มาใช้ในห่วงโซ่เดียวกัน ข้อความภายในตัวแรนซัมแวร์ เช่น mutex และ footer marker ที่อ้างชื่อบุคคล ยังชวนให้ตั้งคำถามว่าเป็นการเยาะเย้ยหรือพยายามชี้ไปที่ผู้อื่น รายงานไม่ได้อธิบายแรงจูงใจของการเข้ารหัสไฟล์ ว่าเพื่อหารายได้ ทำลายหลักฐาน หรืออำพรางการจารกรรม
วิธีการโจมตี
ขั้นที่ 1 — เรซูเม HWP ไฟล์ resume.Hwp มีข้อมูล OLE ฝังอยู่ เมื่อเปิด โปรเซส Hangul จะแตกไฟล์ pdf.Exe และ pdf.Exe.Manifest ลงโฟลเดอร์ %TEMP% โดยไม่ต้องให้ผู้ใช้ทำอะไรเพิ่ม pdf.Exe คือตัวรันสคริปต์ของ VbsEdit ส่วน .Manifest คือสคริปต์อันตรายที่ใช้ในขั้นถัดไป ภายในเอกสารมีไฮเปอร์ลิงก์ชวนให้เปิด PDF ที่มีชื่อบุคคล (resume_{name}.Pdf)
ขั้นที่ 2 — ห่วงโซ่สคริปต์ เมื่อคลิกลิงก์ ไฟล์ที่แตกไว้จะรันสคริปต์ใน manifest และสร้างไฟล์ batch ชื่อสุ่ม (lpe{ค่าสุ่ม}.Bat) จากนั้นสคริปต์ Batch, VBS และ PowerShell รันต่อกันเป็นลำดับ ก่อนติดตั้งแบ็กดอร์ที่เขียนด้วย Python
ขั้นที่ 3 — Quasar RAT Quasar ใช้ไฟล์ตั้งค่านามสกุล .dwg (dog.dwg ในเคสกันยายน · se.dwg ในเคสกุมภาพันธ์และมิถุนายน) เก็บที่อยู่ C2 รหัสเป้าหมาย และชื่อ mutex เวอร์ชันล่าสุดรายงานตัวเป็น 4.4.3 เทียบกับ 1.1.8 ในเคสก่อนหน้า แต่ mutex _QQ_XCZ_VCXZ ไม่เปลี่ยนเลยทั้ง 3 เคส ซึ่งเป็นหลักฐานสำคัญของความต่อเนื่อง และ Quasar คือเครื่องมือที่ใช้ปล่อยแรนซัมแวร์
ขั้นที่ 4 — Funhouse ตัวอย่าง Endpoint เดือนมิถุนายนและ Funhouse เดือนกันยายนใช้นามสกุลไฟล์เข้ารหัส ชื่อไฟล์เรียกค่าไถ่ mutex วิธีเข้ารหัส วิธีสร้างกุญแจ ขนาด footer และ footer marker เหมือนกัน คือเข้ารหัสด้วย HC-128 มี footer 72 ไบต์ และสร้างกุญแจโดยผสม CryptGenRandom, Curve25519 และ SHA-512 ต่างกันแค่อีเมลติดต่อ ขณะที่ตัวอย่าง Endpoint เดือนกุมภาพันธ์ใช้ ChaCha20 และวิธีสร้างกุญแจแบบอื่น สะท้อนวิวัฒนาการภายในตระกูลเดียวกัน
ผลกระทบ
เป้าหมายโดยตรงของแคมเปญนี้ คือ องค์กรในเกาหลีใต้ซึ่งใช้ไฟล์ Hangul Word Processor เป็นหลัก โดยเฉพาะฝ่ายบุคคลและผู้ที่รับเอกสารสมัครงานจากคนภายนอกเป็นประจำ การผสมการจารกรรมเข้ากับแรนซัมแวร์ทำให้เหยื่ออาจเสียทั้งข้อมูลที่ถูกขโมยออกไปผ่าน RAT และความพร้อมใช้งานของระบบจากการเข้ารหัส
บทเรียนกว้างกว่านั้นคือการระบุตัวผู้โจมตี ASEC แสดงให้เห็นว่าชื่อไฟล์ เซิร์ฟเวอร์ และอีเมลติดต่อที่เปลี่ยนไม่ได้แปลว่าเป็นแคมเปญใหม่ที่ไม่เกี่ยวข้องกัน การเทียบค่าตั้งค่าและพฤติกรรมของโค้ด เช่น mutex และวิธีเข้ารหัส ช่วยเชื่อมเหตุการณ์ที่ดูแยกกันเข้าด้วยกันได้
คำแนะนำ
- เฝ้าระวังลำดับเหตุการณ์ทั้งสาย ไม่ใช่แค่ประเภทไฟล์แนบ: โปรแกรม Hangul หรือโปรแกรมเอกสารเขียนไฟล์
.exeและ.manifestลง%TEMP%ตามด้วยสคริปต์ Batch/VBS/PowerShell และเครื่องมือควบคุมระยะไกล - ตั้งกฎตรวจจับ mutex
_QQ_XCZ_VCXZ,DoYouWantToHaveSexWithCuongDong,Mutexisfunnylocalและไฟล์ตั้งค่า.dwgในตำแหน่งที่ไม่ใช่ไฟล์ CAD จริง - ฝ่ายบุคคลควรรับใบสมัครผ่านระบบที่ตรวจไฟล์ก่อน เปิดเอกสารจากภายนอกใน sandbox หรือโหมดป้องกัน และไม่คลิกลิงก์ภายในเอกสารที่ชวนเปิดไฟล์อื่น
- อัปเดตโปรแกรม Hangul และระบบปฏิบัติการ พร้อมรักษาระบบป้องกันปลายทางให้เป็นปัจจุบันตามคำแนะนำของ ASEC
- สำรองข้อมูลแบบแยกออฟไลน์และทดสอบการกู้คืน เพราะห่วงโซ่นี้จบด้วยการเข้ารหัสไฟล์
- บล็อก URL, IP และอีเมลในตาราง IoC บนเกตเวย์และระบบอีเมล
Indicators of Compromise (IoCs)
indicator ทั้งหมด defang แล้ว (เช่น
[.]) เพื่อป้องกันการคลิกโดยไม่ตั้งใจ
| ประเภท | Indicator | คำอธิบาย |
|---|---|---|
| MD5 | 17d97e3ee3185d82812a4014444c36f3 | แฮชตัวอย่างที่เผยแพร่ (ไม่ระบุชื่อไฟล์) |
| MD5 | 327617e977eefd15708568f43140e595 | แฮชตัวอย่างที่เผยแพร่ (ไม่ระบุชื่อไฟล์) |
| MD5 | 3d802ceaf891ea57ecd7d1d786d96a0d | แฮชตัวอย่างที่เผยแพร่ (ไม่ระบุชื่อไฟล์) |
| MD5 | 5be7578bfe633fb268ad97a520abb4e1 | แฮชตัวอย่างที่เผยแพร่ (ไม่ระบุชื่อไฟล์) |
| MD5 | 78c219a6bec5fc30f43b62e4934646eb | แฮชตัวอย่างที่เผยแพร่ (ไม่ระบุชื่อไฟล์) |
| URL | http[:]//daejin[.]makeway2017[.]gethompy[.]com/lib/Cache/adminer/logo[.]php?au=tt | อยู่ในรายการ IoC ของ ASEC |
| URL | http[:]//daejin[.]makeway2017[.]gethompy[.]com/lib/Cache/enter/logo[.]php | อยู่ในรายการ IoC ของ ASEC |
| URL | http[:]//kgbrazing[.]makeway2017[.]gethompy[.]com/skin/board/pym/logo-man[.]php | อยู่ในรายการ IoC ของ ASEC |
| URL | http[:]//koocpt[.]site/meta/logo[.]php | อยู่ในรายการ IoC ของ ASEC |
| URL | http[:]//masonparkpg[.]dothome[.]co[.]kr/Gorg04/a/logo-man[.]php | อยู่ในรายการ IoC ของ ASEC |
| IP:Port (C2) | 45[.]95[.]186[.]232:80 | เคส Endpoint กุมภาพันธ์ 2569 |
| IP:Port (C2) | 45[.]43[.]60[.]53:80 | เคส Endpoint มิถุนายน 2569 |
| IP:Port (C2) | 70[.]36[.]97[.]236:443 | เคส Funhouse กันยายน 2569 |
| ชื่อไฟล์ส่งมอบ | resume.Hwp | เรซูเม HWP อันตราย |
| ไฟล์ที่แตกออกมา | pdf.Exe, pdf.Exe.Manifest | เขียนลง %TEMP% |
| รูปแบบชื่อ batch | lpe{ค่าสุ่ม}.Bat | สร้างโดยสคริปต์อันตราย |
| รูปแบบ PDF ล่อ | resume_{name}.Pdf | ไฟล์ที่ไฮเปอร์ลิงก์ในเอกสารเสนอให้เปิด |
| ไฟล์ตั้งค่า Quasar | dog.dwg | เคส Funhouse กันยายน |
| ไฟล์ตั้งค่า Quasar (เก่า) | se.dwg | เคส Endpoint กุมภาพันธ์และมิถุนายน |
| Quasar mutex | _QQ_XCZ_VCXZ | ใช้ร่วมกันทั้ง 3 เคส |
| นามสกุลไฟล์เข้ารหัส | .Funhouse | ตัวอย่าง Endpoint มิ.ย. และ Funhouse ก.ย. |
| นามสกุลไฟล์เข้ารหัส (เก่า) | .Endpoint | ตัวอย่าง Endpoint ก.พ. |
| ไฟล์เรียกค่าไถ่ | How To Restore Your Files.Txt | ใช้ร่วมกันทั้ง 3 ตัวอย่าง |
| Ransomware mutex | DoYouWantToHaveSexWithCuongDong | ตัวอย่าง Endpoint มิ.ย. และ Funhouse ก.ย. |
| Ransomware mutex (เก่า) | Mutexisfunnylocal | ตัวอย่าง Endpoint ก.พ. |
| Footer marker | Choung Dong looks like a hot dog!! | ตัวอย่าง Endpoint มิ.ย. และ Funhouse ก.ย. |
| อีเมลติดต่อ | Funhouse8764@tutamail[.]Com | ตัวอย่าง Funhouse ก.ย. |
| อีเมลติดต่อ (เก่า) | FunhouseRaaS@proton[.]Me | ตัวอย่าง Endpoint มิ.ย. |
| อีเมลติดต่อ (เก่า) | Schipkealfred@gmail[.]Com | ตัวอย่าง Endpoint ก.พ. |