警惕“*.lnk”文件…朝鲜黑客组织正在散布恶意代码

by Choi Seungwoo

Published 23 Apr.2023 16:46(KST)

朝鲜黑客组织“APT37”传播恶意代码
伪装成快捷方式渗透…需格外警惕

有意见指出，朝鲜黑客组织正利用 Windows 快捷方式文件传播恶意代码，需要用户提高警惕。

23日，据国内安全企业安博士称，朝鲜黑客组织“APT37”近期通过扩展名为“*.lnk”的 Windows 快捷方式文件传播名为 RokRAT 的恶意代码。

RokRAT 一方面会收集用户信息，另一方面还能额外下载其他恶意代码，一旦感染，可能引发二次危害。RokRAT 过去也曾通过韩文文档和 Word 文档进行传播。

图片由Pixabay提供

目前已确认的 lnk 文件名包括：“230407信息志.lnk”、“2023年度 4月 29日研讨会.lnk”、“2023年度个人评价实施.hwp.lnk”、“北外交官选拔派遣及海外公馆.lnk”、“朝鲜外交政策决策过程.lnk”等。

此次发现的 lnk 文件内部包含了 Windows 默认搭载的编程语言 PowerShell 的命令。其通过在临时文件夹路径下，与正常文件一同生成并执行脚本文件的方式来实施恶意行为。

安博士方面表示：“RokRAT 恶意代码自过去起就持续被传播，不仅通过 Word 文档，还通过多种格式的文件扩散，因此用户需要格外注意。”

另一方面，被认定为此次传播行为幕后组织的 APT37，是一个利用最新安全漏洞攻击国内对朝团体和国防领域相关人员的组织，也被称为“金星121”、“SkyCraft”、“RedEyes”、“Group123”等多个名称。

本报道由人工智能(AI)翻译技术生成。