北朝鮮の脅威アクター「キムスキー(Kimsuky)」が、研究者らが「Operation GitPower」と呼ぶキャンペーンの一環として、ローカルの人工知能ツールをサイバースパイ活動の武器庫に加えていることが分かりました。
この活動では、同グループが常用するスピアフィッシング手法、悪意のあるWindowsショートカットファイル、PowerShellローダー、GitHubベースの指令制御(C2)インフラに加え、AI開発環境の活用が拡大している様子がうかがえます。
Genians Security Centerの研究者らは、キムスキーが単に公開されている生成AIサービスを試している段階にとどまらないことを示す兆候を発見しました。
同グループは、外部プロバイダーにデータを送信することなく大規模言語モデルを実行し、非公開文書を処理し、コード開発を支援し、音声をテキストに変換できるローカルシステムを構築しているとみられます。
今回のキャンペーンは、既存の脅威アクターが中核となる侵入手法を変えないまま、AIを活用して作戦のスピードを高めようとしている実態を示しています。
キムスキーは依然として標的型のソーシャルエンジニアリングとクラウドホスト型インフラに依存していますが、AIを使うことで、より巧妙な誘い文句の作成、マルウェアの改変の高速化、窃取した情報のより効率的な処理が可能になる可能性があります。
Operation GitPowerは、ZIPアーカイブを添付した標的型スピアフィッシングメールから始まります。このアーカイブには、正規の文書を装った悪意のあるLNKファイルが含まれています。
誘い文句には、政府機関、大使館、研究、金融、法的契約、国際イベントに関連したテーマが使われています。
被害者がショートカットファイルを開くと、難読化されたPowerShellコマンドが起動します。同時におとり文書が表示され、活動が正規のものであるように見せかけます。
この手法は、被害者には一見普通の文書が見えている一方で、裏側ではマルウェアが静かに実行されているため、疑念を抱かれにくくする効果があります。
研究者らは、一部のおとり文書がAIによって生成、あるいは改良されたとみられる痕跡を確認しました。
その書式、構成、メタデータ、ビジネス寄りの内容は、説得力のある金融・投資・行政関連の文書を作成する自動化されたワークフローの存在を示唆しています。
こうした内容により、キムスキーは個々に合わせた見た目を保ちながら、より大量にフィッシングの誘い文句を作成できる可能性があります。
実行後、PowerShellローダーはスケジュールタスクを通じて永続化を確立します。その後、GitHubリポジトリに接続し、追加のペイロードを取得します。
攻撃者はGitHub Raw Contentサービスを利用し、無害な画像に見えるファイル名で暗号化されたマルウェアを保存しています。
このアプローチにより、同グループは広く信頼されているクラウドプラットフォームの正規利用に悪意のある通信を紛れ込ませることができます。また、防御側がGitHubへのアクセスを全面的に遮断することをためらう可能性があるため、ブロックをより難しくする効果もあります。
このキャンペーンでは、Base64エンコード、断片化されたURL、文字列分割、独自のデコード関数、非表示のPowerShellウィンドウが使用されています。
これらの手法は、静的解析を遅らせ、実際の実行チェーンを隠すために設計されています。調査担当者は、GitHubインフラを通じてホストされていたマルウェアの中に、AsyncRATのペイロードを確認したとpolyswarmは述べています。
注記: IPアドレスとドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化しています（例: [.]）。再有効化は、MISP、VirusTotal、SIEMなどの管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を高め、SOCを強化しMTTRを削減しましょう
翻訳元: https://cyberpress.org/kimsuky-launches-operation-gitpower/
