Kimsuky / Operation GitPower : LLM locaux, AsyncRAT chiffré et C2 GitHub

🔍 Contexte

Publié le 9 août 2026 par le Genians Security Center (source : genians.co.kr), ce rapport de threat intelligence documente Operation GitPower, une campagne attribuée au groupe nord-coréen Kimsuky (opérant sous le Reconnaissance General Bureau). Il s’inscrit dans la continuité de la campagne FlowerPower (2023) et d’une campagne de 2024 déguisée en éditorial de Nouvel An.

🎯 Vecteurs d’accès initial

• Distribution de fichiers ZIP contenant des LNK malveillants déguisés en documents professionnels (formulaires d’honoraires, correspondances d’ambassade, notes de concept d’événements éducatifs internationaux)
• Spear phishing ciblant des professionnels en politique, diplomatie, sécurité, actifs virtuels et finance
• Les LNK contiennent des arguments de ligne de commande PowerShell obfusqués (~3 800 caractères) avec ~300 espaces consécutifs pour masquer le script

🤖 Usage de l’IA générative

• Depuis 2026, Kimsuky utilise des documents leurres générés par IA (PDF sur actifs virtuels, finance, développement de jeux) présentant une structure homogène et un style soigné
• Métadonnées révélatrices : auteur python-docx, créateur WPS 文字, timestamps de création identiques à la seconde près
• Expérimentation confirmée avec Ollama, GPT4All, Msty (LLM locaux), RAG et Cursor
• L’IA permet l’automatisation et la production à grande échelle d’attaques de social engineering

⚙️ Chaîne d’exécution technique

1. LNK → décodage Base64 custom (table de caractères + opérations bitwise) → %TEMP%\poqpwoqwdjoweij.ps1
2. Téléchargement d’un PDF leurre depuis GitHub Raw Content (riudxkfngidruhkr.pdf) → ouverture pour tromper la victime
3. Création de %AppData%\irujkdnjhgttrhdkfdu.ps1 + tâche planifiée (ZHUYHJGTYTFSUHIPOKLKHJHUYGVHGNFH) exécutée toutes les 30 minutes
4. Téléchargement de scripts supplémentaires (priujghtjytfcghffgt.txt, bhjfjkfgrtwehjbfgcf.txt) depuis GitHub
5. Collecte d’informations système (IP, OS, processus) → fichiers nommés <IP>-<MMDD_HHMM>-XXX-kkk.txt

🗄️ Infrastructure C2 Git-based

• Dépôts GitHub et GitLab publics utilisés comme C2 et canaux de distribution
• Payloads AsyncRAT chiffrés RC4 déguisés en fichiers image PNG (apple.png, fox.png, lion.png, rabbit.png, wolf.png)
• Outil rTom.exe_r utilisé avec les payloads AsyncRAT
• IP de test 169.254.33[.]137 (OPSEC failure)
• C2 opérationnel : 112.216.9[.]171 (Corée du Sud)
• Tokens d’accès GitHub (PAT) codés en dur dans les scripts (depuis révoqués)
• URLs construites par concaténation de chaînes ("ht"+"t"+"ps") pour contourner la détection

📌 Indicateurs nord-coréens

Terminologie caractéristique : Arirang, 싸이트, 가입리력, 로출되였는지

📄 Nature du document

Rapport de threat intelligence technique publié par Genians Security Center, visant à documenter les TTPs, l’infrastructure et les capacités IA de Kimsuky pour soutenir la détection, le threat hunting et la réponse aux incidents.

🧠 TTPs et IOCs détectés

Acteurs de menace

• Kimsuky (state-sponsored) — orkl.eu · Malpedia · MITRE ATT&CK

TTP

• T1566.001 — Phishing: Spearphishing Attachment (Initial Access)
• T1204.002 — User Execution: Malicious File (Execution)
• T1059.001 — Command and Scripting Interpreter: PowerShell (Execution)
• T1547.005 — Scheduled Task/Job: Scheduled Task (Persistence)
• T1053.005 — Scheduled Task/Job: Scheduled Task (Persistence)
• T1027 — Obfuscated Files or Information (Defense Evasion)
• T1027.010 — Obfuscated Files or Information: Command Obfuscation (Defense Evasion)
• T1132.001 — Data Encoding: Standard Encoding (Command and Control)
• T1102.002 — Web Service: Bidirectional Communication (Command and Control)
• T1105 — Ingress Tool Transfer (Command and Control)
• T1082 — System Information Discovery (Discovery)
• T1016 — System Network Configuration Discovery (Discovery)
• T1057 — Process Discovery (Discovery)
• T1564.003 — Hide Artifacts: Hidden Window (Defense Evasion)
• T1036.005 — Masquerading: Match Legitimate Name or Location (Defense Evasion)
• T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
• T1560 — Archive Collected Data (Collection)

IOC

• IPv4 : 169.254.33.137 — AbuseIPDB · VT · ThreatFox
• IPv4 : 112.216.9.171 — AbuseIPDB · VT · ThreatFox
• Fichiers : riudxkfngidruhkr.pdf
• Fichiers : poqpwoqwdjoweij.ps1
• Fichiers : irujkdnjhgttrhdkfdu.ps1
• Fichiers : lpieuysjfgtrja.ps1
• Fichiers : ms_update.ps1
• Fichiers : priujghtjytfcghffgt.txt
• Fichiers : bhjfjkfgrtwehjbfgcf.txt
• Fichiers : apple.png
• Fichiers : fox.png
• Fichiers : lion.png
• Fichiers : rabbit.png
• Fichiers : wolf.png
• Fichiers : leopard.png
• Fichiers : rTom.exe_r
• Chemins : %TEMP%\poqpwoqwdjoweij.ps1
• Chemins : %TEMP%\CONCEPT NOTE of 2026 I-ASEAN Global Youth Camp.pdf
• Chemins : %AppData%\irujkdnjhgttrhdkfdu.ps1
• Chemins : %AppData%\lpieuysjfgtrja.ps1
• Chemins : %AppData%\ms_update.ps1
• Chemins : %APPDATA%\Microsoft

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 10 août 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

• AsyncRAT (rat)
• Ollama (tool)
• GPT4All (tool)
• Msty (tool)
• rTom.exe_r (loader)

🟡 Indice de vérification factuelle : 63/100 (moyenne)

• ⬜ genians.co.kr — source non référencée (0pts)
• ✅ 15000 chars — texte complet (fulltext extrait) (15pts)
• ✅ 22 IOCs (IPs/domaines/CVEs) (10pts)
• ✅ 1/2 IOC(s) confirmé(s) (AbuseIPDB, ThreatFox, VirusTotal) (8pts)
• ✅ 17 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ✅ acteur(s) identifié(s) : Kimsuky (5pts)
• ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

• 112.216.9.171 (ip) → VT (13/91 détections)

🔗 Source originale : https://www.genians.co.kr/en/blog/threat_intelligence/kimsuky_ai_llm