lazarusholic

Everyday is lazarus.dayβ

"북한 신형 자폭드론" 관련 내용으로 위장한 악성 MSC 문서

2024-09-13, Hauri
https://hauri.co.kr/security/issue_view.html?intSeq=456&page=1&article_num=338
#Kimsuky #MSC

Contents

파일명 | MD5 | 진단명 |
---|---|---|
[자문]북한 신형 자폭드론.msc | 755C0350038DAEFB29B888B6F8739E81 | Downloader.S.MSC.146707 |
※ | MSC 파일은 Microsoft Management Console 에서 사용되는 파일 형식으로, 시스템 관리 도구와 스냅인을 구성하는 설정을 저장하는 파일이며, XML 기반의 파일 형식으로 작성된다. |
hxxps://petssecondchance.larcity[.]dev/modules/mod_custom/tmpl/andy/css.php?na=xam1 | c:userspublicmusicdefault1.xml |
hxxps://petssecondchance.larcity[.]dev/modules/mod_custom/tmpl/andy/css.php?na=sam1 | c:userspublicpicturesdefault1.vbs |
hxxps://petssecondchance.larcity[.]dev/modules/mod_custom/tmpl/andy/css.hp?na=xam2 | c:userspublicmusicdefault2.xml |
hxxps://petssecondchance.larcity[.]dev/modules/mod_custom/tmpl/andy/css.php?na=sam2 | c:userspublicpicturesdefault2.vbs |
TerminalServiceUpdater | c:userspublicmusicdefault1.xml |
TermServiceUpdater | c:userspublicmusicdefault2.xml |

IoC

https://petssecondchance.larcity.dev/modules/mod_custom/tmpl/andy/css.hp?na=xam2
https://petssecondchance.larcity.dev/modules/mod_custom/tmpl/andy/css.php?na=sam2
https://petssecondchance.larcity.dev/modules/mod_custom/tmpl/andy/css.php?na=sam1
https://petssecondchance.larcity.dev/modules/mod_custom/tmpl/andy/css.php?na=xam1
755C0350038DAEFB29B888B6F8739E81