El grupo Kimsuky, a través de la Operación GitPower, está utilizando documentos generados por IA combinados con tácticas de phishing tradicionales para distribuir AsyncRAT, un troyano de acceso remoto. Esta campaña demuestra cómo el uso de contenido redactado profesionalmente mediante IA puede otorgar mayor credibilidad a métodos de entrega antiguos, como el uso de archivos ZIP con accesos directos de Windows.

Se ha observado que Kimsuky está mezclando documentos pulidos creados con IA con tácticas de phishing conocidas para distribuir AsyncRAT, un troyano de acceso remoto.

La campaña demuestra cómo los antiguos métodos de entrega pueden ganar una nueva credibilidad cuando el cebo parece escrito profesionalmente y formateado con cuidado.

La actividad, rastreada como Operación GitPower, comienza con archivos ZIP que contienen archivos de acceso directo de Windows que parecen ser documentos ordinarios.

Abrir uno de ellos puede ejecutar código de PowerShell oculto mientras se abre un PDF aparentemente inofensivo en la pantalla, reduciendo la posibilidad de que tú notes el compromiso.

Los analistas de Genians identificaron la campaña tras rastrear una infraestructura ligada a actividades basadas en GitHub y GitLab.

Genians afirmó en un informe que los objetivos incluyen misiones diplomáticas y organizaciones militares, de seguridad, de activos virtuales, políticas y académicas.

El impacto operativo es más amplio que un solo archivo malicioso. Los atacantes pueden actualizar scripts y cargas útiles en repositorios de código públicos, usar tráfico web confiable para camuflarse, recopilar detalles del sistema y mantener el acceso mediante tareas programadas.

Esto hace que la detección conductual temprana sea especialmente importante, como también ilustró una reciente campaña de C2 de GitHub relacionada con Corea del Norte.

Kimsuky utiliza LLMs locales, cebos generados por IA y C2 de GitHub

Los operadores configuraron entornos de modelos de lenguaje locales utilizando Ollama, GPT4All y Msty.

La evidencia también incluyó una base de datos LocalDocs de GPT4All, lo que sugiere que los documentos en posesión del grupo podrían ser buscados y utilizados como una base de conocimientos de IA.

Los investigadores no encontraron evidencia de que el grupo haya entrenado sus propios modelos.

En su lugar, los rastros sugieren una fase de investigación e integración: prueba de IA ejecutada localmente, recuperación de documentos, marcos de automatización y herramientas de voz a texto que podrían ayudar a procesar material robado o apoyar el desarrollo futuro de malware.

En la vanguardia de la intrusión, los señuelos generados por IA cubrían temas de inversión, activos virtuales y desarrollo de juegos.

Su lenguaje pulido y diseño consistente pueden hacer que las señales de advertencia habituales sean menos fiables.

Quienes siguen las campañas de phishing asistidas por IA han visto el mismo problema general: el contenido convincente ya no es, por sí solo, una prueba de seguridad útil.

El cargador de accesos directos ocultaba un comando de PowerShell de aproximadamente 3,800 caracteres, incluyendo una larga serie de espacios diseñados para ocultar la parte importante en las propiedades de Windows.

Recuperaba un PDF señuelo a través de GitHub Raw Content, luego creaba scripts en ubicaciones temporales y de AppData, y registraba una tarea recurrente oculta.

GitHub sirvió como algo más que un punto de descarga. Los scripts obtenían archivos posteriores y recopilaban información del sistema operativo, hardware, historial de arranque, procesos y red.

Los datos recopilados podrían ayudar a los operadores a decidir cómo continuar la intrusión, mientras que el acceso normal a GitHub hacía que el tráfico fuera menos sospechoso.

Entrega de AsyncRAT y defensa

Los repositorios públicos contenían archivos llamados apple.png, fox.png, lion.png, rabbit.png y wolf.png, pero los archivos eran cargas útiles de .NET AsyncRAT cifradas en lugar de imágenes.

Este disfraz recuerda a otras técnicas de entrega de AsyncRAT, donde un artefacto de apariencia legítima oculta una herramienta que puede dar a los atacantes el control remoto de un sistema Windows comprometido.

El informe vinculó apple.png y rabbit.png con rTom.exe_r, mientras que otras cargas útiles con nombre de imagen utilizaban una dirección de comando y control predefinida.

La campaña también utilizó división de cadenas, decodificación Base64 personalizada y encabezados de archivo alterados, pequeñas evasiones que en conjunto complican las comprobaciones simples de firmas.

Las organizaciones deben tratar un archivo LNK entregado por ZIP que ejecute cmd.exe o PowerShell como una señal de alta prioridad, especialmente cuando lleva argumentos inusualmente largos.

Los equipos de detección deben correlacionar ese evento con PowerShell oculto, nuevos scripts en Temp o AppData, creación de tareas programadas, tráfico de GitHub Raw Content o de la API de Contents, tokens de acceso personal no laborales y archivos de imagen que se comportan como ejecutables cifrados.

La lección práctica es observar la secuencia, no solo el señuelo. Bloquea o investiga los archivos de acceso directo sospechosos antes de la ejecución, restringe la ejecución de scripts innecesarios y busca el comportamiento combinado en los endpoints y los registros de red.

Este enfoque también ayuda a contrarrestar el último abuso de la nube de AsyncRAT, donde servicios confiables pueden enmascarar una cadena de infección de múltiples etapas.

La IA puede hacer que el material de phishing sea más rápido de producir y más difícil de detectar, pero no elimina las acciones necesarias para ejecutar el malware, mantener el acceso y contactar a un operador.

Los defensores que unan esos eventos pueden identificar la campaña incluso cuando cada acción individual parezca ordinaria al principio.

Fuentes:
https://cybersecuritynews.com/kimsuky-uses-local-llms/