Uma campanha do grupo Kimsuky entrega o ransomware Funhouse por meio de um documento malicioso no formato HWP (formato de arquivo do editor Hangul), disfarçado de currículo. A operação combina objetos OLE incorporados (tecnologia da Microsoft para vincular e incorporar dados entre aplicativos), scripts sequenciais, uma backdoor em Python e o Quasar RAT (trojan de acesso remoto, em inglês Remote Access Trojan, ou RAT). Além disso, liga a atividade de setembro de 2026 a implantações anteriores do ransomware Endpoint atribuídas ao grupo.
As descobertas indicam continuidade, e não uma operação de ransomware totalmente nova. Embora os arquivos de entrega, a infraestrutura, as versões de configuração e os endereços de contato tenham mudado, os criminosos mantiveram detalhes distintivos de implementação ao longo de campanhas sucessivas.
O documento inicial, resume.hwp, contém dados OLE maliciosos. Ao ser aberto, o processo do Hangul extrai pdf.exe e pdf.exe.manifest para o diretório temporário do Windows, sem exigir interação adicional do usuário.
No entanto, a extração por si só não dispara a sequência de infecção descrita pela ASEC (centro de resposta a emergências de segurança da AhnLab).
O documento apresenta um hiperlink que supostamente abre resume_{name}.pdf. Ao clicar nesse link, é iniciado o pdf.exe, um editor de VBScript (VbsEdit), que processa o script malicioso pdf.exe.manifest.
Esse script cria um arquivo em lote chamado lpe{valor aleatório}.bat no diretório temporário, dando início à etapa seguinte.
Essa distinção é operacionalmente importante: a isca primeiro deposita componentes executáveis e depois depende de uma interação com o documento para ativá-los.
A ASEC também relacionou o par formado pelo executável e pelo manifesto a um caso anterior de distribuição do Kimsuky, com arquivos organizados de forma semelhante.
Scripts sucessivos em Batch, VBS e PowerShell estabelecem a cadeia de infecção, seguidos pela implantação de uma backdoor em Python e pela instalação do Quasar RAT. Em seguida, os criminosos usam o Quasar RAT para executar o ransomware Funhouse, fazendo do componente de acesso remoto a ponte entre o comprometimento inicial e a criptografia.
Ataque de ransomware Funhouse
A ASEC identificou semelhanças entre o script em lote da campanha e sua análise anterior sobre campanhas do Kimsuky baseadas em arquivos LNK (atalhos do Windows), que distribuíam backdoors em Python.
Essas operações anteriores usavam scripts em camadas e tarefas agendadas, o que demonstra como o grupo modifica repetidamente as etapas intermediárias de execução, preservando sua arquitetura mais ampla de distribuição.
A variante atual do Quasar armazena sua configuração no arquivo dog.dwg, substituindo o se.dwg observado em fevereiro e junho.
O valor VERSION configurado subiu de 1.1.8 para 4.4.3, enquanto o endpoint de comando e controle (C2) passou a ser 70.36.97[.]236:443.
Apesar dessas mudanças, as três configurações mantiveram o mutex (mecanismo que impede a execução duplicada de um programa) _QQ_XCZ_VCXZ.
O identificador (TAG) de setembro também incorporou um identificador de empresa vítima seguido de _it1, oferecendo outro ponto de comparação dentro da linhagem da campanha.
O Funhouse coincide com a amostra Endpoint de junho na extensão .Funhouse, na nota de resgate How To Restore Your Files.Txt, no mutex do ransomware, na abordagem de criptografia, no tamanho do rodapé e no marcador embutido.
Ambas usam CryptGenRandom (função de geração de números aleatórios do Windows), Curve25519 (curva elíptica usada na geração de chaves) e SHA-512 (algoritmo de hash) para a geração de chaves, criptografia HC-128 (cifra de fluxo) e um rodapé de criptografia de 72 bytes.
Em comparação, a amostra Endpoint de fevereiro usava a extensão .Endpoint, criptografia ChaCha20 (cifra de fluxo) e um rodapé de 1.592 bytes no modo normal.
A análise anterior da ASEC sobre o Endpoint documenta o comportamento de criptografia dessa família e a interferência na recuperação de arquivos, oferecendo contexto para a comparação com a variante posterior.
O endereço de contato de setembro mudou para [email protected], substituindo o de junho, [email protected].
Essa atualização, somada à rotação de infraestrutura, mostra identificadores operacionais alterados sem mudanças equivalentes nas características técnicas centrais do ransomware.
As características mantidas sustentam a avaliação da ASEC de uma cadeia de ataque relacionada e atualizada continuamente.
A campanha desloca a entrega inicial dos arquivos LNK, usados recentemente com mais frequência, para uma isca de currículo em HWP já conhecida.
A sequência observável inclui a extração de executáveis temporários, a execução do VbsEdit, scripts encadeados, a instalação de uma backdoor e, por fim, a implantação do ransomware. Correlacionar esses comportamentos com o mutex reutilizado do Quasar e com os artefatos de configuração DWG oferece um contexto investigativo mais durável do que depender apenas de nomes de arquivos, endereços de contato ou indicadores de rede.
IOCs (indicadores de comprometimento)
Observação: endereços IP e domínios foram intencionalmente desfigurados (por exemplo, com [.]) para evitar resolução ou hiperlink acidentais. Restaure o formato original apenas em plataformas controladas de inteligência de ameaças, como MISP, VirusTotal ou seu SIEM (sistema de gestão de eventos e informações de segurança).
