Kimsuky 常使用钓鱼邮件，伪造Lnk等诱饵文件展开攻击，近期研究人员在公开狩猎中发现有疑似 Kimsuky 样本，并且该样本和已知样本有很多相似之处。本次发现样本系韩文相关钓鱼文档，通过样本元数据发现可能最早在2022年九月份就开始传播。

近期，研究人员在日常情报挖掘中发现并捕获到了Kimsuky组织针对韩国地区的最新攻击行动。该组织一如既往地采用恶意宏文件、LNK文件作为攻击入口点，诱导用户点击恶意文件，从而开启一段复杂多阶段的无文件攻击链，最终窃取用户信息。需要特别说明的是，这轮攻击中Kimsuky组织使用了韩文域名进行恶意载荷下载、通信，并没有使用常规的英文域名。

8月26日，研究人员披露了朝鲜黑客组织 Kimsuky 制作的恶意软件 Consent Form_Princeton Study.vbs (2023.8.14)。恶意软件是用 VBS 编写的。该脚本会分析指定文件夹中的快捷方式文件（.lnk），找到特定程序的启动快捷方式，并将其复制到桌面。该恶意脚本执行代码时，首先设置脚本在出错时不会中止。然后创建并配置对象，以便访问系统信息。另外还有访问外部网站并执行命令，收集电池和进程信息，验证 curl.exe 文件是否存在等功能。研究人员认为，此次活动的目标群体是从事国家安全相关领域的工作人员。

与朝鲜有关联的 APT 组织Kimsuky对参与美韩联合军事演习的韩国承包商发起了鱼叉式网络钓鱼活动。韩国警方和美国军方进行了联合调查，发现此次黑客攻击中使用的 IP 地址与 2014 年针对韩国核反应堆运营商的黑客攻击中发现的 IP 地址相符。

Kimsuky组织在最近的攻击活动中使用了Chrome远程桌面。该组织利用以WSF、JS脚本作为附件的钓鱼邮件发起攻击，以此传播AppleSeed后门程序，并打开一个正常的文档进行掩饰。AppleSeed于2019年左右被发现，是一种Kimsuky组织常使用的后门程序。该后门程序执行后在受害主机中下载执行其他恶意软件，包括用于窃取3个执行浏览器账户凭据的窃密木马、用于执行额外远程桌面会话的RDP Patcher程序、Ngrok内网穿透程序，以及Chrome远程桌面。Kimsuky组织利用后门程序下发Powershell命令安装Chrome远程桌面，并下发bat文件执行命令以建立远程连接。

Kimsuky组织在5月份被发现的分发文件名称显示了各种主题，例如加密货币、税务会计和合同。分发中的CHM恶意软件在执行时会生成正常的帮助窗口，并通过内部的恶意脚本执行恶意行为。

Kimsuky组织采用带有“生日祝福”诱饵信息的CHM类型文件实施攻击活动，并成功投递Quasar RAT，以获取用户的敏感信息。Quasar RAT是一个开源的远程访问木马（RAT），使用.NET编写，主要针对Windows操作系统。具有强大的远程控制功能，包括远程桌面访问、文件和系统管理、键盘记录、密码恢复和远程Shell命令等。其高度的隐蔽性和强大的功能使其成为攻击者的常用工具。保护措施包括保持系统和应用的更新、安装强大的安全解决方案，以及对网络流量进行监控。 捕获到的样本是一种CHM类型的文件。一旦用户执行该文件，恶意命令将被用来加载远程的VBS脚本。接着，该VBS脚本将负责加载远程的PowerShell脚本。该PowerShell脚本经过quicklz算法压缩，需要进行解压缩后方能继续执行。解压缩后，通过Loader将QuasarRat加载到CasPol.exe进程空间中，并最终执行QuasarRat以获取用户信息。

美国和韩国的网络安全和情报机构联合发布了一份关于朝鲜网络攻击者的警告，称Kimsuky使用社会工程学和恶意软件来攻击智库、学术界和新闻媒体部门。Kimsuky组织利用钓鱼邮件和伪造的网站来诱使目标输入自己的凭证，然后利用这些凭证来访问目标的网络和数据。美韩机构提供了一些攻击者使用的域名、IP地址、电子邮件地址等，以帮助受影响的组织检测和防御这些攻击。

Kimsuky采用有针对性的网络钓鱼和社会工程策略来收集情报和访问敏感信息，并针对朝鲜事务专家发起社会工程活动。攻击者冒充了 NK News 和关联控股公司 Korea Risk Group 的创始人 Chad O'Carroll，使用其创建的域，该域与合法的 NK News 域非常相似。最初的电子邮件要求审查分析朝鲜核威胁的文章草案。此外，Kimsuky的目标还包括窃取 NK News 的订阅凭据。Kimsuky组织分发电子邮件，引诱目标个人登录恶意网站nknews[.]pro，该网站伪装成真实的 NK 新闻网站。呈现给目标的登录表单旨在捕获输入的凭据。

Kimsuky组织在侦察和信息窃取行动中使用一款名为RandomQuery的定制恶意软件，以便进行后续攻击。此次活动于2023年5月5日开始，主要针对信息服务以及支持人权活动家和北韩叛逃者的组织。RandomQuery与FlowerPower和AppleSeed一起，是Kimsuky武器库中最常分发的工具之一。Kimsuky 使用 Microsoft 编译的 HTML 帮助 (CHM) 文件分发 RandomQuery，这是他们用于交付各种恶意软件集的长期策略。Kimsuky 战略性地为恶意基础设施使用新的 TLD 和域名，模仿标准的 .com TLD 来欺骗毫无戒心的目标和网络防御者。