Un curriculum Hangul innesca una catena di script che installa una backdoor Python. Quasar RAT distribuisce poi Funhouse; ASEC collega l'attività a precedenti operazioni attribuite a Kimsuky.
Nel campione esaminato da ASEC, aprire il documento non basta a far partire l'intera infezione: serve un clic sul collegamento incorporato. Da lì, una sequenza di script porta all'installazione di Funhouse.
Il legame con le operazioni precedenti non si basa soltanto sul nome del ransomware. ASEC ha trovato corrispondenze negli script e nella configurazione di Quasar RAT. Ha rilevato somiglianze anche nei campioni ransomware, e collega la campagna ad attività di Kimsuky osservate nella prima metà del 2026. È una valutazione tecnica dell'azienda, fondata sui confronti tra strumenti e campioni.
Il rapporto è stato pubblicato il 1° ottobre 2026. La data riguarda la pubblicazione dell'analisi, non necessariamente il momento delle infezioni. ASEC descrive Funhouse come una variante del ransomware Endpoint. Il rapporto di ASEC ricostruisce la catena tecnica.
Il file `resume.Hwp` contiene dati OLE incorporati. Quando viene aperto, Hangul crea nella cartella temporanea di Windows `pdf.Exe` e `pdf.Exe.Manifest`, senza richiedere un'altra azione dell'utente. Il primo è un esecutore di script VbsEdit. Il secondo contiene lo script dannoso.
Il passaggio decisivo arriva con il clic. Il collegamento propone di aprire un PDF il cui nome include quello della persona. A quel punto l'eseguibile estratto lancia lo script nel manifest e crea un file batch dal nome casuale.
Il batch avvia uno script VBS, che passa poi a PowerShell. La catena installa una backdoor Python; Quasar RAT entra in azione dopo, distribuendo Funhouse.
La tecnica ricorda altre campagne documentali attribuite a Kimsuky. Una usava un documento HWP di ricerca con file incorporati e un link da cliccare. In una campagna precedente, invece, collegamenti LNK a tema documentale servivano a installare una backdoor Python attraverso più script. ASEC ha trovato anche codice batch simile a quello di campioni precedenti, aggiornato periodicamente dagli operatori.
La configurazione di Quasar RAT è nascosta in un file con estensione `.dwg`, normalmente associata ai disegni CAD. Contiene l'indirizzo di comando e controllo. Riporta anche il TAG identificativo del bersaglio e il nome del mutex.
La configurazione più recente indica la versione 4.4.3; nei casi precedenti era la 1.1.8. Nomi dei file e server sono cambiati, così come i dettagli dei bersagli. Il mutex `_QQ_XCZ_VCXZ` è invece rimasto invariato nei casi di febbraio, giugno e settembre. ASEC ha confrontato anche l'estensione `.dwg` e i parametri condivisi.
ASEC identifica Funhouse come una variante del ransomware Endpoint. I campioni di giugno e settembre condividono l'estensione di cifratura `.Funhouse` e il nome della nota di riscatto. Hanno lo stesso mutex ransomware. Coincidono anche il metodo di cifratura e la generazione delle chiavi.
Entrambi usano HC-128 e un footer di 72 byte. Il footer riporta lo stesso marcatore. Per generare le chiavi, i campioni combinano CryptGenRandom con Curve25519 e SHA-512. L'indirizzo di contatto, invece, è cambiato. Il campione Endpoint di febbraio usava ChaCha20 e un metodo diverso per generare le chiavi. In questo contesto SHA-512 indica un'operazione crittografica, non l'hash pubblicato di un campione.
ASEC rileva anche un cambio nel vettore iniziale: le campagne recenti usavano file LNK, mentre questa parte da documenti HWP presentati come curriculum. La tecnica richiama precedenti campagne di phishing Kimsuky basate su falsi curriculum e biglietti da visita. In un filone distinto legato al ransomware, il caso del fondatore di Monster Cloud è stato trattato in questa inchiesta precedente. Il rapporto non indica alcun collegamento operativo con la campagna attuale.
Tra gli indicatori pubblicati da ASEC figurano gli MD5 `17d97e3ee3185d82812a4014444c36f3` e `327617e977eefd15708568f43140e595`. L'elenco comprende anche `3d802ceaf891ea57ecd7d1d786d96a0d` e `5be7578bfe633fb268ad97a520abb4e1`. Un altro MD5 riportato è `78c219a6bec5fc30f43b62e4934646eb`.
Tra i file osservati c'è `resume.Hwp`. ASEC elenca anche `pdf.Exe` e `pdf.Exe.Manifest`. I file batch seguono il formato `lpe{random value}.Bat`; il PDF-esca usa lo schema `resume_{name}.Pdf`.
Il rapporto elenca `http[:]//daejin[.]makeway2017[.]gethompy[.]com/lib/Cache/adminer/logo[.]php?au=tt`. Riporta anche `http[:]//daejin[.]makeway2017[.]gethompy[.]com/lib/Cache/enter/logo[.]php` e `http[:]//kgbrazing[.]makeway2017[.]gethompy[.]com/skin/board/pym/logo-man[.]php`.
Completano l'elenco `http[:]//koocpt[.]site/meta/logo[.]php` e `http[:]//masonparkpg[.]dothome[.]co[.]kr/Gorg04/a/logo-man[.]php`. Gli indirizzi C2 riportati sono `45[.]95[.]186[.]232:80` per il caso Endpoint di febbraio e `45[.]43[.]60[.]53:80` per quello di giugno. Per Funhouse a settembre, l'indirizzo è `70[.]36[.]97[.]236:443`.
Le configurazioni Quasar indicate sono `dog.dwg` e `se.dwg`. Il mutex Quasar è `_QQ_XCZ_VCXZ`. ASEC riporta la nota `How To Restore Your Files.Txt` e l'estensione `.Endpoint` nel campione di febbraio.
I campioni di giugno e settembre condividono il mutex ransomware `DoYouWantToHaveSexWithCuongDong`. Il marcatore del footer è `Choung Dong looks like a hot dog!!`. Per febbraio, il mutex riportato è `Mutexisfunnylocal`.
Le email di contatto elencate sono `Funhouse8764@tutamail[.]Com` e `FunhouseRaaS@proton[.]Me`. L'elenco include anche `Schipkealfred@gmail[.]Com`.
Per individuare la catena, ASEC raccomanda di controllare i link nei documenti e di verificare l'affidabilità dei mittenti. Suggerisce inoltre di evitare collegamenti sospetti. Hangul, sistemi operativi e protezioni endpoint vanno mantenuti aggiornati. I domini e gli IP sono intenzionalmente defanged: vanno riattivati soltanto su piattaforme di threat intelligence controllate.
