Исследование выявило масштабную и технически продвинутую кампанию, приписываемую Konni Group — северокорейской APT. Атака сочетает социальную инженерию и многоступенчатое развертывание вредоносного ПО: от целевых электронных писем-приглашений до долгосрочного удалённого контроля над системами жертв. Атака начинается с целевых фишинговых писем, замаскированных под приглашения на заседания по правам человека в Северной Корее. Вложенные файлы формата LNK действуют как дропперы — при запуске они вызывают PowerShell, расшифровывают скрытые данные, загружают полезную нагрузку с сервера управления (C2) и закрепляют присутствие через планировщик задач Windows...

Исследователи из Cyble обратили внимание на новый инструмент, помогающий киберпреступникам создавать вредоносные файлы-ярлыки в формате .LNK. Далее эти ярлыки используются для доставки пейлоадов на начальных этапах кибератаки. Все уже давно знают, что LNK-файлы могут содержать вредоносный код, использующий для загрузки легитимные инструменты Windows (по-другому — LOLBins) вроде PowerShell или MSHTA. Ряд киберпреступников любит использовать ярлыки, особенно это касается фишинговых кампаний. Например, с помощью LNK-файлов распространялись в своё время Emotet, Bumblebee, Qbot и IcedID...