Kimsuky usa finti curriculum in formato HWP per diffondere il ransomware Funhouse

• Kimsuky diffonde il ransomware Funhouse con un finto curriculum in formato HWP (Hangul)
• La catena usa script, backdoor Python e Quasar RAT; Funhouse è una variante di Endpoint
• Numero di vittime non indicato dal report ASEC del 1° ottobre 2026
• Verificare link e mittenti, aggiornare Hangul e sistema operativo, tenere attivo l'EDR

Il gruppo Kimsuky ha usato un finto curriculum per diffondere il ransomware Funhouse. A riferirlo sono i ricercatori dell’AhnLab Security intelligence Center (ASEC), in un report pubblicato il 1° ottobre 2026. L’esca è un documento di Hangul Word Processor (HWP) camuffato da candidatura di lavoro.

Come funziona la catena d’infezione

Il file, chiamato resume.Hwp, contiene dati OLE (Object Linking and Embedding) incorporati. Quando viene aperto, Hangul estrae nella cartella temporanea di Windows due file: pdf.Exe e pdf.Exe.Manifest, senza ulteriori azioni dell’utente.

L’eseguibile è un esecutore di script VbsEdit. Il manifest contiene lo script malevolo della fase successiva. Dentro il documento c’è un link che invita ad aprire un PDF intestato a una persona. Il clic avvia l’eseguibile, che lancia lo script e crea un file batch dal nome casuale.

Il documento da solo non cifra nulla. Seguono script batch, VBS e PowerShell, poi una backdoor in Python, l’installazione di Quasar RAT e infine l’esecuzione di Funhouse. Quasar RAT è lo strumento usato per rilasciare il ransomware.

I collegamenti con campagne precedenti

ASEC collega il caso ad attività Kimsuky già note per tre elementi: script condivisi, configurazioni di Quasar RAT e caratteristiche del ransomware. Secondo i ricercatori cambia il metodo di consegna iniziale, non l’insieme degli strumenti. Prima venivano usati soprattutto file LNK, cioè collegamenti di Windows. Il passaggio ai file HWP punta probabilmente a destare meno sospetti, perché un curriculum è un documento familiare, soprattutto per chi gestisce le selezioni del personale.

Il campione di Quasar RAT usa un file di configurazione con estensione .dwg. Contiene l’indirizzo di comando e controllo, l’identificativo del bersaglio e il nome del mutex. Il mutex è un oggetto con nome che un programma usa per coordinarsi o per evitare copie duplicate di sé. Nei casi di febbraio, giugno e settembre il mutex è rimasto lo stesso. Nomi dei file, server e dettagli del bersaglio sono invece cambiati. La versione di Quasar RAT è la 4.4.3, contro la 1.1.8 dei casi precedenti.

Funhouse, variante di Endpoint

ASEC identifica Funhouse come variante del ransomware Endpoint. I campioni di giugno (Endpoint) e settembre (Funhouse) condividono:

• estensione dei file cifrati;
• nome del file con la richiesta di riscatto;
• mutex e metodo di cifratura;
• approccio alla generazione delle chiavi, che combina CryptGenRandom, Curve25519 e SHA-512;
• dimensione e marcatore del footer.

Entrambi usano HC-128 e un footer da 72 byte. Cambia l’indirizzo di contatto dell’attaccante. Il campione di febbraio usava invece ChaCha20 e un diverso metodo di generazione delle chiavi. Il report pubblico non indica quante siano le vittime.

Cosa fare

I difensori dovrebbero osservare l’intera sequenza e non solo il tipo di allegato: Hangul che scrive un eseguibile e un manifest, seguito da attività anomala di script e da strumenti di accesso remoto. ASEC consiglia di:

• verificare i link nei documenti e l’affidabilità del mittente;
• evitare i link sospetti;
• aggiornare Hangul e il sistema operativo;
• mantenere aggiornata la protezione degli endpoint.

Per ASEC conviene confrontare configurazioni e comportamento del codice, senza considerare ogni nuovo server o nome di file come indizio di una campagna distinta.

Indicatori di compromissione (IoC)

resume[.]Hwp
pdf.Exe
pdf.Exe[.]Manifest

Fonte: Cyber Security News · Foto: Cyber Security News