https://cyberveille.ch/tags/msty/ Recent content in Msty on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Mon, 10 Aug 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-08-10-kimsuky-operation-gitpower-llm-locaux-asyncrat-chiffre-et-c2-github/ Mon, 10 Aug 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-08-10-kimsuky-operation-gitpower-llm-locaux-asyncrat-chiffre-et-c2-github/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 9 août 2026 par le Genians Security Center (source : genians.co.kr), ce rapport de threat intelligence documente <strong>Operation GitPower</strong>, une campagne attribuée au groupe nord-coréen <strong>Kimsuky</strong> (opérant sous le Reconnaissance General Bureau). Il s&rsquo;inscrit dans la continuité de la campagne <strong>FlowerPower</strong> (2023) et d&rsquo;une campagne de 2024 déguisée en éditorial de Nouvel An.</p> <h2 id="-vecteurs-daccès-initial">🎯 Vecteurs d&rsquo;accès initial</h2> <ul> <li>Distribution de <strong>fichiers ZIP contenant des LNK malveillants</strong> déguisés en documents professionnels (formulaires d&rsquo;honoraires, correspondances d&rsquo;ambassade, notes de concept d&rsquo;événements éducatifs internationaux)</li> <li>Spear phishing ciblant des professionnels en politique, diplomatie, sécurité, actifs virtuels et finance</li> <li>Les LNK contiennent des <strong>arguments de ligne de commande PowerShell obfusqués</strong> (~3 800 caractères) avec ~300 espaces consécutifs pour masquer le script</li> </ul> <h2 id="-usage-de-lia-générative">🤖 Usage de l&rsquo;IA générative</h2> <ul> <li>Depuis 2026, Kimsuky utilise des <strong>documents leurres générés par IA</strong> (PDF sur actifs virtuels, finance, développement de jeux) présentant une structure homogène et un style soigné</li> <li>Métadonnées révélatrices : auteur <code>python-docx</code>, créateur <code>WPS 文字</code>, timestamps de création identiques à la seconde près</li> <li>Expérimentation confirmée avec <strong>Ollama, GPT4All, Msty</strong> (LLM locaux), <strong>RAG</strong> et <strong>Cursor</strong></li> <li>L&rsquo;IA permet l&rsquo;automatisation et la production à grande échelle d&rsquo;attaques de social engineering</li> </ul> <h2 id="-chaîne-dexécution-technique">⚙️ Chaîne d&rsquo;exécution technique</h2> <ol> <li>LNK → décodage Base64 custom (table de caractères + opérations bitwise) → <code>%TEMP%\poqpwoqwdjoweij.ps1</code></li> <li>Téléchargement d&rsquo;un PDF leurre depuis GitHub Raw Content (<code>riudxkfngidruhkr.pdf</code>) → ouverture pour tromper la victime</li> <li>Création de <code>%AppData%\irujkdnjhgttrhdkfdu.ps1</code> + tâche planifiée (<code>ZHUYHJGTYTFSUHIPOKLKHJHUYGVHGNFH</code>) exécutée toutes les 30 minutes</li> <li>Téléchargement de scripts supplémentaires (<code>priujghtjytfcghffgt.txt</code>, <code>bhjfjkfgrtwehjbfgcf.txt</code>) depuis GitHub</li> <li>Collecte d&rsquo;informations système (IP, OS, processus) → fichiers nommés <code>&lt;IP&gt;-&lt;MMDD_HHMM&gt;-XXX-kkk.txt</code></li> </ol> <h2 id="-infrastructure-c2-git-based">🗄️ Infrastructure C2 Git-based</h2> <ul> <li>Dépôts <strong>GitHub et GitLab publics</strong> utilisés comme C2 et canaux de distribution</li> <li>Payloads <strong>AsyncRAT chiffrés RC4</strong> déguisés en fichiers image PNG (<code>apple.png</code>, <code>fox.png</code>, <code>lion.png</code>, <code>rabbit.png</code>, <code>wolf.png</code>)</li> <li>Outil <code>rTom.exe_r</code> utilisé avec les payloads AsyncRAT</li> <li>IP de test <code>169.254.33[.]137</code> (OPSEC failure)</li> <li>C2 opérationnel : <code>112.216.9[.]171</code> (Corée du Sud)</li> <li>Tokens d&rsquo;accès GitHub (PAT) codés en dur dans les scripts (depuis révoqués)</li> <li>URLs construites par concaténation de chaînes (<code>&quot;ht&quot;+&quot;t&quot;+&quot;ps&quot;</code>) pour contourner la détection</li> </ul> <h2 id="-indicateurs-nord-coréens">📌 Indicateurs nord-coréens</h2> <p>Terminologie caractéristique : <code>Arirang</code>, <code>싸이트</code>, <code>가입리력</code>, <code>로출되였는지</code></p>