Kimsuky использовала ИИ и GitHub в кампании GitPower
Государственная северокорейская группа Kimsuky провела новую вредоносную кампанию, получившую название GitPower. Атаки были направлены против дипломатических учреждений, военных структур, органов безопасности, а также организаций, связанных с виртуальными активами. Кампания продолжает развитие техник, впервые отмеченных в рамках операции FlowerPower 2023 года, и отличается активным использованием генеративного искусственного интеллекта для создания фишинговых приманок.
Ключевые особенности кампании
- Выполнение кода на основе PowerShell
- Использование Git-репозиториев в качестве инфраструктуры управления (command-and-control)
- Доставка полезной нагрузки через модифицированные заголовки RTF с распаковкой Gzip
- Применение генеративного ИИ для разработки фишинговых документов
Вектор заражения и обфускация
Первоначальным вектором заражения стало целевое фишинговое письмо, содержащее ZIP-архивы с LNK-файлами, замаскированными под официальные документы, отчеты, платежные запросы или переписку с посольством. Ярлыки скрывали сильно обфусцированные команды PowerShell: перед фактическим скриптом размещалось более 300 пробелов, а также применялась пользовательская логика декодирования Base64 с использованием таблиц символов и побитовых операций.
Скрипт первого этапа загружал и открывал легитимный PDF-файл с GitHub, чтобы отвлечь жертву, затем сохранял дополнительные скрипты во временных каталогах и в каталоге AppData. Дополнительно создавалась скрытая запланированная задача, которая запускалась через пять минут после регистрации и каждые 30 минут thereafter.
GitHub как адаптивная платформа C2
Финальный полезный груз представлял собой AsyncRAT, зашифрованный алгоритмом RC4 и размещённый в репозиториях GitHub под именами файлов, похожими на изображения, такими как apple.png и fox.png. PowerShell расшифровывал и загружал полезный груз, обеспечивая удалённое управление.
Скрипты и полезные грузы, размещённые в репозиториях, могли обновляться динамически, что позволяло GitHub функционировать как адаптивная платформа command-and-control.
Искусственный интеллект в арсенале Kimsuky
Kimsuky всё чаще использует генеративный искусственный интеллект для создания фишинговых приманок. Захваченные PDF-документы, посвящённые виртуальным активам, финансовым инвестициям и разработке игр, демонстрировали согласованные структуры и стили письма. Метаданные указывали на использование библиотеки Python python-docx и WPS Writer.
Одна из приманок имитировала инвестиционный стратегический материал южнокорейской финтех-компании и распространялась через файл с именем «Investment Strategy Package PDF.lnk». Для повышения доверия приманка ссылалась на недавнее объявление об утечке данных клиентов.
Группа также создала внутреннюю среду разработки на базе искусственного интеллекта на своих серверах управления. Логи показали одновременное использование Ollama, GPT4All и Msty, а также функций генерации с дополнением на основе поиска (retrieval-augmented generation), разработки AI-агентов и работы с приватными базами знаний.
Дополнительные компоненты включали:
- LLaMaSharp с бэкендами CUDA
- LangChain
- Semantic Kernel
- пакеты агентов Microsoft
- SDK OpenAI и Azure OpenAI
- инструменты распознавания речи Whisper и faster-whisper
Эти возможности могли использоваться для разработки вредоносного кода, обработки документов, автономных рабочих процессов и транскрипции похищенных аудиозаписей.
Не было обнаружено доказательств того, что Kimsuky самостоятельно обучала большие языковые модели или поддерживала собственные обучающие наборы данных и файлы моделей.
Атрибуция
Приписывание инцидента подтверждается технической преемственностью, индикаторами устройств и языка, характерными для Северной Кореи, а также целевым набором, соответствующим активности Kimsuky.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
