El grupo de hackers Kimsuky ha sido detectado utilizando un agente de IA para generar señuelos de phishing convincentes de forma masiva. La campaña comienza con mensajes de spear-phishing que contienen archivos ZIP, los cuales ocultan malware dentro de accesos directos de Windows (archivos LNK) disfrazados de documentos legítimos.

Se ha observado que Kimsuky utiliza un agente de IA para producir señuelos de phishing convincentes a gran escala, ocultando luego el malware dentro de archivos de acceso directo de Windows. La actividad más reciente muestra cómo documentos de apariencia ordinaria pueden convertirse en el primer paso para comprometer tu sistema.

La campaña comienza con mensajes de spear-phishing que contienen archivos ZIP. En su interior hay un acceso directo LNK malicioso disfrazado de documento, a menudo con un icono de estilo de navegador y detalles falsos. Al abrirlo, muestra un señuelo mientras lanza silenciosamente PowerShell para obtener código adicional.

Las 13 muestras examinadas fueron recopiladas entre el 11 y el 19 de agosto de 2026, y utilizaron señuelos financieros y corporativos. Esa gama más amplia aumenta el riesgo para el personal corporativo que recibe habitualmente papeleo y avisos financieros.

Los investigadores de Genians identificaron la actividad como una continuación del grupo Operation GitPower vinculado a Kimsuky.

Genians afirmó en un informe  que la campaña mantiene la infraestructura de comando basada en GitHub, añadiendo además evasión y diversos formatos de señuelos.

Kimsuky utiliza el agente de IA OpenCode

El cambio más notable es la evidencia de OpenCode en los metadatos de "Creador" y "Productor" de varios señuelos en PDF.

Cuatro documentos tenían la misma marca de tiempo de creación del 16 de agosto, mientras que su campo de "Autor" permanecía como “anónimo”, lo que respalda la evaluación de que fueron producidos automáticamente en lugar de ensamblados uno por uno.

Los documentos no estaban pulidos uniformemente. Algunos contenían texto provisional no reemplazado para fechas de pago, periodos de gracia y valores financieros, una señal de que los borradores se pusieron en uso sin una revisión cuidadosa.

Otros PDF mostraban metadatos de HeadlessChrome y Skia/PDF, lo que sugiere un flujo de trabajo separado que generaba contenido HTML y lo renderizaba en PDF con un aspecto más limpio.

Esa combinación otorga a los atacantes velocidad sin abandonar la ingeniería social familiar. Los analistas encontraron 29 archivos señuelo recuperados, pero solo 11 documentos únicos por MD5, con contenido duplicado redistribuido bajo nombres aleatorios.

Puedes ver el contexto anterior en los señuelos de phishing de LLM local de Kimsuky, donde ya se utilizaban archivos creados por IA para hacer que los ataques mediante accesos directos parecieran rutinarios.

Tales artefactos pueden desaparecer a medida que los operadores refinen su proceso, por lo que no debes utilizar únicamente la calidad del documento o los metadatos como prueba para saber si un archivo adjunto es seguro.

Los cargadores LNK ocultan cargas útiles basadas en GitHub

Cada archivo LNK analizado ejecutó PowerShell, ocultando un cargador cifrado en argumentos que se extendían aproximadamente entre 5,800 y 9,500 caracteres.

Cerca de 300 espacios iniciales ayudaron a mantener el comando fuera de la vista en la ventana de propiedades del acceso directo, mientras que el relleno excesivo infló el tamaño de los archivos para frustrar la inspección simple y algunos controles automatizados.

Después de decodificar el contenido oculto, el cargador descarga un señuelo y un script posterior desde GitHub Raw Content utilizando un token de acceso personal codificado.

Luego crea archivos de PowerShell con nombres aleatorios en AppData o Temp, inicia PowerShell a través de conhost.exe --headless y registra tareas programadas ocultas que suplantan componentes de BitLocker, MATLAB o .NET.

Una variante temática de Visa también extrajo código de Pastebin, dando a los operadores una segunda ruta de entrega si el acceso a GitHub es bloqueado. Este enfoque se basa en los ataques C2 de GitHub relacionados con Corea del Norte, donde se utilizaron plataformas de desarrolladores confiables para mezclar el tráfico malicioso con la actividad web ordinaria.

Las variantes más recientes verifican si hay máquinas virtuales y herramientas de análisis, buscan el nombre de usuario “Bruno” y eliminan el historial de comandos de PowerShell cuando detectan un entorno probable de investigación.

También utilizan documentos de error en algunas versiones incompletas, pero las etapas de persistencia y recuperación de la carga útil aún pueden ejecutarse. Técnicas comparables de cargadores de PowerShell LNK muestran por qué abrir un archivo que simplemente parece un PDF no es una verificación de seguridad fiable.

Las organizaciones deberían poner en cuarentena los archivos ZIP no solicitados que contengan archivos LNK, especialmente cuando sus iconos y descripciones no coincidan con su tipo real.

Los equipos de seguridad deberían correlacionar los lanzamientos de LNK con líneas de comandos largas, PowerShell oculto, scripts recién creados, registro de tareas programadas, solicitudes de GitHub Raw que lleven tokens inusuales y acceso a Pastebin.

Este enfoque centrado primero en el comportamiento es más duradero que confiar en una única lista de bloqueo de dominios o en la revisión de documentos señuelo, y se alinea con las lecciones de las campañas de archivos de acceso directo maliciosos.