O grupo de ameaças cibernéticas Kimsuky, frequentemente associado a atividades de espionagem patrocinadas pelo estado norte-coreano, foi observado empregando técnicas avançadas que combinam inteligência artificial generativa com infraestrutura de código aberto para distribuir malware. A campanha, identificada como Operation GitPower, representa uma evolução significativa nas táticas de entrega de payloads, utilizando modelos de linguagem locais (LLMs) para criar iscas convincentes e repositórios públicos do GitHub como canal de comando e controle (C2).
Contexto da campanha e objetivos
Analistas da Genians identificaram a atividade após rastrear infraestrutura vinculada a atividades baseadas em GitHub e GitLab. Os alvos incluem missões diplomáticas, organizações militares, de segurança, ativos virtuais, políticas e acadêmicas. A operação demonstra como métodos de entrega tradicionais podem ganhar nova credibilidade quando a isca parece profissionalmente escrita e cuidadosamente formatada, dificultando a detecção por usuários e ferramentas de segurança convencionais.
O grupo não encontrou evidências de que treinou seus próprios modelos de IA. Em vez disso, as pistas sugerem uma fase de pesquisa e integração: testando IA executada localmente, recuperação de documentos, frameworks de automação e ferramentas de fala para texto que poderiam ajudar a processar material roubado ou suportar o desenvolvimento futuro de malware.
Técnicas de entrega e execução
A atividade começa com arquivos ZIP contendo arquivos de atalho do Windows que parecem documentos comuns. Ao abrir um, pode ser lançado código PowerShell oculto enquanto um PDF inofensivo é aberto na tela, reduzindo a chance de o alvo notar a comprometimento. O carregador de atalho escondia um comando PowerShell de aproximadamente 3.800 caracteres, incluindo uma longa sequência de espaços projetada para obscurecer a parte importante nas propriedades do Windows.
O script recuperou um PDF de isca através do GitHub Raw Content, depois criou scripts em locais temporários e AppData e registrou uma tarefa recorrente oculta. O GitHub serviu como mais do que um ponto de download. Os scripts buscaram arquivos subsequentes e coletaram informações do sistema operacional, hardware, histórico de inicialização, processos e rede. Os dados coletados poderiam ajudar os operadores a decidir como continuar a intrusão, enquanto o acesso normal ao GitHub tornava o tráfego menos conspicuo.
Uso de LLMs locais para geração de iscas
Os operadores configuraram ambientes de modelos de linguagem locais usando Ollama, GPT4All e Msty. Evidências também incluíram um banco de dados GPT4All LocalDocs, sugerindo que os documentos mantidos pelo grupo poderiam ser pesquisados e usados como uma base de conhecimento de IA. Na frente da intrusão, iscas geradas por IA cobriam temas de investimento, ativos virtuais e desenvolvimento de jogos. Sua linguagem polida e design consistente podem tornar os sinais de alerta usuais menos confiáveis.
Implantação do AsyncRAT e evasão
Repositórios públicos continham arquivos nomeados como apple.png, fox.png, lion.png, rabbit.png e wolf.png, mas os arquivos eram payloads do .NET AsyncRAT criptografados em vez de imagens. Este disfarce ecoa outras técnicas de entrega do AsyncRAT, onde um artefato que parece legítimo esconde uma ferramenta que pode dar aos atacantes controle remoto de um sistema Windows comprometido.
A campanha também usou divisão de strings, decodificação Base64 personalizada e cabeçalhos de arquivo alterados, pequenas evasões que juntas complicam verificações simples de assinatura. Os arquivos nomeados como imagem usavam um endereço de comando e controle embutido, enquanto alguns estavam vinculados a rTom.exe_r.
Recomendações de defesa e mitigação
As organizações devem tratar um arquivo LNK entregue via ZIP que inicia cmd.exe ou PowerShell como um sinal de alta prioridade, especialmente quando carrega argumentos incomumente longos. As equipes de detecção devem correlacionar esse evento com PowerShell oculto, novos scripts em Temp ou AppData, criação de tarefas agendadas, tráfego de API Raw Content ou Contents do GitHub, tokens de acesso pessoal não comerciais e arquivos de imagem que se comportam como executáveis criptografados.
A lição prática é olhar para a sequência, não apenas a isca. Bloqueie ou investigue arquivos de atalho suspeitos antes da execução, restrinja a execução desnecessária de scripts e caçe o comportamento combinado em endpoints e logs de rede. A IA pode tornar o material de phishing mais rápido de produzir e mais difícil de identificar, mas não remove as ações necessárias para executar malware, manter acesso e contatar um operador.
Indicadores de comprometimento (IoCs)
Os indicadores de comprometimento incluem endereços IP de C2 como 112.216.9[.]171, domínios como toks.great-site[.]net e arquivos como apple.png, fox.png, leopard.png, lion.png, rabbit.png e wolf.png que são payloads do AsyncRAT criptografados RC4. Hashes MD5 de malware publicados também devem ser monitorados em plataformas de inteligência de ameaças.
Perguntas frequentes
Por que o GitHub é usado como C2? O tráfego do GitHub é frequentemente permitido através de firewalls corporativos, permitindo que os atacantes se misturem ao tráfego legítimo e evitem detecção baseada em reputação.
Como detectar o uso de LLMs locais? A detecção comportamental é crucial. Monitorar o uso de ferramentas como Ollama ou GPT4All em endpoints não autorizados pode indicar preparação para campanhas de phishing mais sofisticadas.