El grupo de espionaje norcoreano Kimsuky ha ampliado su campaña Operation GitPower mediante la implementación de un entorno de desarrollo de inteligencia artificial local. Esta herramienta se utiliza para optimizar la creación de señuelos en correos de phishing, analizar material robado y acelerar sus operaciones. El método de acceso inicial sigue basándose en el envío de archivos ZIP que contienen accesos directos de Windows (LNK).

Kimsuky, el grupo de espionaje de Corea del Norte, ha ampliado una campaña conocida como Operación GitPower con una configuración de desarrollo de inteligencia artificial local.

Combina correos electrónicos de phishing con herramientas que pueden ayudar a crear señuelos, revisar material robado y adaptar las operaciones con mayor rapidez. El punto de entrada sigue siendo simple pero efectivo.

Los objetivos reciben archivos ZIP que contienen accesos directos de Windows, o archivos LNK, disfrazados de correspondencia, material de investigación, mensajes de embajadas, registros financieros, documentos legales o información de eventos. Abrir uno de ellos inicia un código de PowerShell oculto mientras aparece un documento para evitar que tú, como víctima, lo notes.

Analistas de Polyswarm identificaron la actividad como una continuación del trabajo de espionaje establecido de Kimsuky, y no como una nueva forma de irrumpir en las redes.

La campaña parece centrarse en organizaciones surcoreanas de gobierno, academia, diplomacia, ejército, investigación de seguridad, cooperación internacional y activos virtuales.

Polyswarm afirmó en un informe que el resultado podría ser una operación de espionaje más eficiente, y no un tipo de malware totalmente nuevo.

Kimsuky busca un acceso duradero y la recopilación de inteligencia, y esta mezcla de ingeniería social, infraestructura en la nube e IA local podría acortar la preparación y el ajuste de la campaña.

Kimsuky amplía su arsenal de ciberespionaje

Los investigadores encontraron evidencia de plataformas de modelos locales, incluyendo Ollama, GPT4All y Msty, en la infraestructura vinculada a la Operación GitPower.

Los modelos locales permiten que los operadores trabajen con prompts y documentos sin necesidad de un servicio de IA externo.

Este enfoque, llamado generación aumentada por recuperación, puede hacer que un sistema responda preguntas basándose en una colección dedicada de archivos. Otros artefactos incluyeron bases de datos, marcos de agentes, librerías de modelos, soporte gráfico y herramientas Whisper.

Esto apunta a un espacio de trabajo interno que va más allá de escribir textos convincentes. Podría servir para la revisión de documentos, traducción, desarrollo de malware, automatización y procesamiento de información robada.

El hallazgo es importante porque sugiere una capacidad repetible que podría mejorar las operaciones existentes mientras mantienen el trabajo sensible bajo el control del grupo.

Los archivos señuelo generados por IA ya muestran dónde podría tener esto un efecto inmediato.

Los investigadores observaron documentos con temática financiera, de inversión y de negocios cuyos metadatos, estructura, formato y plantillas sugerían una generación automatizada.

Un informe separado sobre operaciones de phishing asistidas por IA muestra por qué los mensajes pulidos y las identidades creíbles siguen siendo una preocupación creciente para quienes defienden las redes.

La cadena de phishing utiliza la infraestructura de GitHub

La Operación GitPower sigue una ruta de intrusión reconocible. Un archivo de acceso directo lanza un cargador de PowerShell ofuscado, establece persistencia con una tarea programada y recupera componentes adicionales de repositorios de GitHub.

El grupo utiliza servicios de contenido raw y cargas útiles cifradas diseñadas para parecer archivos de imagen, permitiendo que el tráfico malicioso se mezcle con una plataforma en la nube legítima.

Los investigadores vincularon la campaña con cargas útiles de AsyncRAT almacenadas en repositorios y describieron a GitHub tanto como un lugar de entrega como un canal de comando y control.

Este enfoque recuerda a una campaña de C2 de GitHub relacionada con Corea del Norte, donde los señuelos LNK y la infraestructura de desarrolladores confiables ocultaban similitudmente las comunicaciones maliciosas.

Los scripts utilizan codificación Base64, cadenas divididas, decodificación personalizada, direcciones web fragmentadas y ventanas de PowerShell ocultas para complicar la inspección.

Estas son técnicas familiares, pero la IA local podría facilitar la revisión del código de soporte y los señuelos a medida que tú y otros defensores bloqueen muestras o infraestructura. El uso similar de PowerShell e infraestructura de Dropbox subraya el historial del grupo de esconderse dentro de servicios en línea comunes.

Los equipos de seguridad deben tratar cualquier archivo LNK entregado vía ZIP que lance cmd.exe o PowerShell como una señal de alta prioridad.

La detección debe conectar dicha actividad con argumentos de comando largos, nuevos archivos en Temp o AppData, ejecución de scripts ocultos, creación de tareas programadas y tráfico de API o contenido raw de GitHub.

Revisar los archivos de imagen que se comportan como ejecutables cifrados también puede exponer la cadena de entrega. Las organizaciones no deben juzgar un correo electrónico solo por lo profesional que parezca su documento.

El monitoreo basado en el comportamiento, el análisis rápido de archivos sospechosos y la inteligencia de amenazas actualizada regularmente ofrecen una mejor protección cuando los atacantes pueden alterar el contenido y las cargas útiles rápidamente.

La reciente actividad de LLM local de Kimsuky refuerza el valor de vigilar la cadena de ejecución completa en lugar de confiar únicamente en indicadores estáticos.

Fuentes:
https://cybersecuritynews.com/kimsuky-expands-its-cyber/