Kimsuky, Operation GitPower usa GitHub per colpire esperti ucraini

• Kimsuky usa GitHub, GitLab e Codeberg contro esperti ucraini di diplomazia e sicurezza
• Email esca, falsi PDF in formato shortcut e falso installer Zoom; dati inviati via GitHub API
• Gran parte dei tentativi osservati contro i bersagli ucraini è fallita
• Correlare eventi endpoint: shortcut con cmd.exe, curl, PowerShell nascosto, task simili a update

Il gruppo Kimsuky, collegato alla Corea del Nord, usa piattaforme di codice affidabili come GitHub, GitLab e Codeberg per diffondere malware, eseguire comandi e sottrarre dati a esperti ucraini di diplomazia, sicurezza e politica internazionale. La campagna, chiamata Operation GitPower, è descritta in un report di Genians del 12 ottobre 2026.

Come funzionano gli attacchi

Gli attaccanti partono da email mirate che sembrano richieste di lavoro: inviti a conferenze o richieste di pareri su ricerche. Codeberg ospita archivi malevoli, GitLab fornisce documenti esca e script, GitHub serve alla consegna dei payload e al trasferimento dei dati rubati.

Un attacco è iniziato il 6 agosto con un falso invito a intervenire alla Korea Cyber Security Conference. L’email usava dettagli reali dell’evento, elogiava il destinatario e offriva rimborso del viaggio e un compenso. A differenza di precedenti attacchi di Kimsuky su GitHub, il primo messaggio non conteneva link né allegati dannosi.

Solo dopo la risposta della vittima arrivava un archivio ZIP. Una versione successiva era protetta da password, mossa che secondo i ricercatori serve a complicare i controlli dei sistemi di sicurezza della posta. Dentro l’archivio, un invito HTML credibile nascondeva un collegamento di Windows (.lnk) mascherato da PDF.

Il 19 agosto un secondo approccio si è presentato come un ricercatore che chiedeva commenti a un report su Russia e Corea del Nord. Dopo la risposta, è stato inviato un link di download su Codeberg. Quando il tentativo è fallito, a settembre l’attaccante è passato a una falsa pagina di login per riunioni, pensata per rubare le credenziali.

Catena di infezione

• Il collegamento malevolo avvia cmd.exe e usa curl per scaricare file da GitLab.
• Si apre un PDF civetta, mentre un altro file viene salvato come script VBE ed eseguito in background.
• Lo script scarica un componente successivo, eseguito in memoria. Il loader inserisce parole extra nei comandi PowerShell e le rimuove con Replace() poco prima dell’esecuzione.
• Viene creata un’attività pianificata che imita un aggiornamento di Google e gira ogni 15 minuti.
• Vengono raccolti l’output di systeminfo e l’elenco della cartella Download, non tutti i file in essa contenuti.
• I dati, codificati in Base64, sono caricati tramite la GitHub Contents API con un token di accesso incorporato nel codice. File temporanei e script iniziale vengono poi cancellati.

Altri campioni di settembre usavano temi come report di pace e curriculum di ricercatori. I collegamenti scaricavano da GitHub file chiamati LICENSE e okay.md, che in realtà contenevano codice VBScript e PowerShell. Un task a tema OneDrive, eseguito ogni minuto, permetteva a un server di controllo di consegnare altri script e ricevere i file prodotti.

Il gruppo ha anche pubblicato in un repository GitHub un falso installer di Zoom a 64 bit, non firmato. Crea script nascosti, un task ogni minuto e contatta lo stesso server di controllo dei campioni di settembre. Poi scarica e avvia l’installer vero, così la vittima vede una schermata familiare quando il malware è già presente.

Attribuzione e impatto

Genians collega l’attività a Kimsuky tramite un insieme di prove tecniche: codice condiviso, nomi di file, task pianificati e metodi di upload dei dati, non il solo uso di GitHub o il tema delle email. Secondo l’analisi, il targeting potrebbe servire a spiare la guerra e la cooperazione tra Corea del Sud e Ucraina. Documenti esca in giapponese nei repository suggeriscono un possibile interesse per i giapponesi, senza confermare attacchi riusciti.

La maggior parte dei tentativi contro i bersagli ucraini non è andata a buon fine. Il report non stabilisce inoltre che ogni file nei repository sia arrivato a una vittima.

Cosa fare

Il report sconsiglia di bloccare in blocco le piattaforme di sviluppo e suggerisce di correlare gli eventi sugli endpoint. Vanno esaminati:

• collegamenti che avviano cmd.exe, curl o PowerShell nascosto;
• nuovi script e task pianificati a tema aggiornamenti;
• upload verso le API di GitHub e connessioni di rete insolite.

Per gli installer vanno verificate le firme digitali e l’attività in background: una schermata di setup autentica non prova che il file che la avvia sia sicuro.

Indicatori di compromissione (IoC)

LICENSE
okay[.]md

Fonte: Cyber Security News · Foto: Cyber Security News