В кампании, связанной с Kimsuky, для заражения применялся вредоносный файл LNK, замаскированный под корейский финансовый документ. Атака сочетала загрузку файлов из публичных репозиториев, использование системных утилит и распределение команд, отчетности, эксфильтрации данных и удаленного доступа по различным легитимным сервисам. Ярлык запускал conhost.exe в минимизированном окне. Иконка и метаданные файла имитировали документ. После запуска ярлык декодировал содержимое в формате Base64, создавал скрипты и загружал файлы последующих стадий из публичных репозиториев с помощью легитимных системных утилит...