Kimsuky targets organizations with PebbleDash-based tools
Kaspersky researchers analyze a range of new PebbleDash-based tools used in recent Kimsuky campaigns and reveal their connection to the AppleSeed malware cluster.
Kaspersky-Forscher haben neue PebbleDash-basierte Tools analysiert, die in jüngsten Kimsuky-Kampagnen eingesetzt wurden. Diese Tools zeigen eine Verbindung zum AppleSeed-Malware-Cluster. Die Kampagnen zielen auf Organisationen ab, insbesondere auf Behörden.
Behörden und Organisationen, die von Kimsuky ins Visier genommen werden.
Kimsuky ist eine bekannte Bedrohungsgruppe, die neue, auf PebbleDash basierende Tools einsetzt, was auf eine Weiterentwicklung ihrer Taktiken hindeutet. Die Verbindung zu AppleSeed deutet auf eine mögliche Wiederverwendung oder Weiterentwicklung bekannter Malware hin.
Erfolgreiche Kompromittierung von Netzwerken und Systemen, was zu Datenexfiltration oder anderen schädlichen Aktivitäten führen kann, deren genaue Art im Artikel nicht spezifiziert ist.
Überprüfung der Netzwerk-Perimeter-Sicherheit und Implementierung von Erkennungsmechanismen für PebbleDash-basierte Tools und AppleSeed-Malware.
- ▸Überprüfen Sie die Protokolle Ihrer Netzwerk-Perimeter-Geräte auf ungewöhnliche Verbindungen oder Datenflüsse, die auf PebbleDash- oder AppleSeed-Aktivitäten hindeuten könnten.
- ▸Stellen Sie sicher, dass Ihre Endpoint Detection and Response (EDR)-Lösungen Signaturen oder Verhaltensregeln für PebbleDash-basierte Tools und AppleSeed-Malware enthalten und aktiv sind.
- ▸Führen Sie regelmäßige Schwachstellen-Scans und Penetrationstests durch, um potenzielle Angriffsvektoren zu identifizieren, die von Kimsuky ausgenutzt werden könnten.
| Taktik | Technik | Konfidenz | Beleg |
|---|---|---|---|
| Initial Access | T1566 Phishing | Low | not specified in the article, but common for Kimsuky campaigns targeting organizations |
| Execution | T1059 Command and Scripting Interpreter | Low | PebbleDash-based tools imply execution of malicious code, but specific interpreter not mentioned |
| Defense Evasion | T1027 Obfuscated Files or Information | Low | New tools often imply attempts to evade detection, but specific obfuscation not mentioned |
- Die genauen Angriffsvektoren, die Kimsuky für die Bereitstellung der PebbleDash-Tools verwendet.
- Die spezifischen Funktionen und Fähigkeiten der neuen PebbleDash-basierten Tools.
- Die Art der Daten oder Systeme, die Kimsuky mit diesen Tools primär ins Visier nimmt.
- Die geografische Reichweite der betroffenen Behörden.
- Die genaue Art der Verbindung zwischen PebbleDash-Tools und dem AppleSeed-Malware-Cluster (z.B. Code-Sharing, Infrastruktur-Sharing).
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
- Initial Access möglich?Ja
- Privilege Escalation relevant?Möglich
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Ja
Kundenfragen
- Haben wir Windows extern erreichbar?
- Können wir Reconnaissance detektieren?
- Können wir Resource Development detektieren?
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog