El grupo Kimsuky han utilizado documentos de currículum maliciosos para desplegar el ransomware Funhouse. El ataque comienza con un archivo del procesador de textos Hangul disfrazado de solicitud de empleo, el cual sirve como punto de entrada para una cadena de scripts y herramientas de acceso remoto que finalmente encriptan los archivos de la víctima.

 Kimsuky han utilizado un documento de currículum malicioso para desplegar el ransomware Funhouse a través de una cadena de scripts y herramientas de acceso remoto.

El ataque comienza con un documento de Hangul Word Processor disfrazado de solicitud de empleo, convirtiendo un archivo de trabajo rutinario en un punto de entrada para un malware que, finalmente, cifra los archivos.

La campaña conecta el engaño basado en documentos con herramientas utilizadas en casos anteriores de ransomware Endpoint. Abrir el currículum descarga archivos de soporte, pero hacer clic en un enlace dentro de él activa la siguiente etapa.

Esa distinción es importante: el documento visible actúa como cebo, mientras que el enlace inicia el proceso que conduce al acceso remoto y a la ejecución del ransomware.

Investigadores del Centro de Inteligencia de Seguridad de AhnLab (ASEC) identificaron el caso de entrega del malware Funhouse en un informe publicado el 1 de octubre de 2026. Lo vincularon con actividad previa de Kimsuky a través de scripts compartidos, configuraciones de Quasar RAT y rasgos del ransomware.

Los hallazgos muestran un cambio en el método de entrega inicial en lugar de un conjunto de herramientas completamente nuevo. El informe público no establece cuántas víctimas hubo.

Kimsuky utiliza documentos de currículum maliciosos

El archivo malicioso, resume.Hwp, contiene datos embebidos de Object Linking and Embedding (OLE). Al abrirse, el proceso de Hangul extrae pdf.Exe y pdf.Exe.Manifest en la carpeta temporal de Windows sin necesidad de más intervención del usuario.

El ejecutable es un ejecutor de scripts VbsEdit, mientras que el manifiesto contiene el script malicioso utilizado en la etapa siguiente. Un hipervínculo dentro del currículum invita al destinatario a abrir un PDF que lleva el nombre de una persona.

Al hacer clic, se lanza el ejecutable extraído, que ejecuta el script del manifiesto y crea un archivo batch con un nombre aleatorio. El detonante se asemeja a trucos anteriores de documentos de Kimsuky: una campaña de investigación de HWP armada también utilizó archivos embebidos y un enlace clickable para iniciar la ejecución maliciosa.

Esto no es simplemente un documento que cifra archivos al abrirse. ASEC describe varias etapas entre el currículum y la carga útil final.

Scripts de Batch, VBS y PowerShell se ejecutan en secuencia, seguidos de una puerta trasera basada en Python, la instalación de Quasar RAT y la ejecución de Funhouse. Quasar RAT sirve como la herramienta utilizada para desplegar el ransomware.

La etapa de Python encaja con las operaciones previas del grupo. Una campaña anterior de puertas traseras mediante archivos LNK maliciosos utilizó accesos directos de Windows con temática de documentos para instalar una puerta trasera de Python a través de múltiples scripts.

En el caso de Funhouse, ASEC también encontró código batch similar a muestras anteriores de Kimsuky. Los operadores actualizaban periódicamente este componente batch, que proporcionaba una forma adicional de mantener el acceso.

Quasar RAT conecta los casos

La muestra de Quasar RAT utiliza un archivo de configuración con extensión .dwg, almacenando su dirección de comando y control, el identificador del objetivo y el nombre del mutex.

Un mutex es un objeto con nombre que los programas pueden usar para coordinar actividades o evitar ejecutar copias duplicadas. La configuración más reciente reporta la versión 4.4.3, comparada con la versión 1.1.8 de los casos anteriores.

Aunque los nombres de los archivos de configuración, las direcciones del servidor y los detalles del objetivo cambiaron, el mutex de Quasar se mantuvo igual en los casos de febrero, junio y septiembre.

Estas coincidencias respaldan la evaluación de continuidad de ASEC. También muestran por qué los investigadores deberían comparar las configuraciones y el comportamiento del código en lugar de tratar cada nuevo servidor o nombre de archivo como evidencia de una campaña no relacionada.

ASEC identificó a Funhouse como una variante del ransomware Endpoint. Las muestras de Endpoint de junio y Funhouse de septiembre comparten la extensión de cifrado, el nombre del archivo de la nota de rescate, el mutex, el método de cifrado, el enfoque de generación de claves, el tamaño del pie de página y el marcador del pie de página.

La dirección de contacto del atacante cambió, pero los rasgos subyacentes de cifrado de archivos se mantuvieron constantes. Ambas muestras utilizan el cifrado HC-128 y un pie de página de 72 bytes. Su proceso de generación de claves combina CryptGenRandom, Curve25519 y SHA-512.

Por el contrario, la muestra de Endpoint de febrero utilizaba el cifrado ChaCha20 y un método de generación de claves diferente. Estas diferencias rastrean cambios dentro de la familia del ransomware; SHA-512 aquí describe una operación criptográfica, no un hash de muestra publicado.

ASEC afirmó que el cambio de los archivos LNK, favorecidos recientemente, a los documentos HWP probablemente busca reducir las sospechas. Un currículum es un elemento de trabajo familiar, especialmente para el personal que gestiona solicitudes de empleo.

Campañas anteriores de phishing de Kimsuky dirigidas a reclutadores utilizaron de manera similar currículums y tarjetas de presentación falsas, demostrando cómo el grupo diseña los cebos en torno a las tareas normales del destinatario.

Quienes defienden sus sistemas deben vigilar la secuencia completa, no solo el tipo de adjunto: Hangul escribiendo archivos ejecutables y de manifiesto, seguido de actividad de scripts inusual y herramientas de acceso remoto.

ASEC aconseja verificar los enlaces de los documentos y la credibilidad del remitente, evitar enlaces sospechosos, actualizar Hangul y los sistemas operativos, y mantener al día la protección de los endpoints.

Fuentes:
https://cybersecuritynews.com/kimsuky-hackers-2/