Kimsuky abusa GitHub e Zoom per spionaggio ucraino: come funziona

Il gruppo APT nordcoreano Kimsuky ha condotto una campagna di spear phishing contro esperti ucraini di diplomazia, sicurezza e politica internazionale, abusando di GitHub, GitLab e Codeberg per ospitare payload, controllare le infezioni e sottrarre dati. Il report di Genians Security Center, pubblicato il 12 ottobre 2026, documenta una catena d'attacco multi-stadio che inizia con il reply-baiting — una tecnica che aggira i filtri email tradizionali — e prosegue con file LNK mascherati da PDF, script PowerShell in-memory e un falso installer Zoom. La maggior parte dei tentativi osservati è risultata infruttuosa.

Come funziona il reply-baiting che aggira i filtri

La campagna si apre con un'email che non contiene né allegati né link: un'apparente richiesta di conferma disponibilità per un evento o un feedback su un report. Il primo lure osservato, datato 6 agosto 2026, impersonava l'organizzatore della Korea Cyber Security Conference (KCSCON 2026) usando dettagli reali dell'evento, elogiando il lavoro del destinatario e offrendo supporto di viaggio e pagamento. Un secondo lure, del 19 agosto 2026, fingeva di provenire da un ricercatore di un think tank europeo con una richiesta di commenti su un report Russia-Corea del Nord.

Solo dopo che la vittima risponde, gli aggressori inviano un archivio ZIP contenente un file LNK con doppia estensione — ad esempio KCSCON_2026_Official_Invitation.pdf.lnk — e icona PDF. L'LNK sfrutta il comportamento predefinito di Windows di nascondere le estensioni conosciute. Al clic, avvia cmd.exe che usa curl per scaricare file da GitLab: uno script VBE viene eseguito in background mentre si apre simultaneamente un PDF esca, riducendo la percezione di anomalia. Gli script di follow-up cancellano file temporanei e iniziali per limitare le evidenze forensi.

La catena multi-stadio: da LNK a GitHub Contents API

La catena si articola in tre piattaforme con ruoli distinti. Codeberg ospita archivi malevoli; GitLab fornisce documenti esca e script intermedi; GitHub supporta sia la delivery finale dei payload che il trasferimento dei dati sottratti. Questa distribuzione geografica e funzionale rende difficile il blocco per reputazione: nessuna delle piattaforme è compromessa, tutte sono usate legittimamente.

I dati raccolti — systeminfo e elenco della cartella Downloads — sono codificati Base64 e caricati tramite GitHub Contents API usando un token di accesso hardcoded. La scelta dell'API ufficiale, piuttosto di un endpoint casuale, consente al traffico di fondersi con quello di sviluppatori legittimi. Campioni di settembre 2026, con temi peace-report e CV di ricercatore, usavano shortcut che scaricavano LICENSE (un VBScript) e okay.md (un PowerShell) da GitHub, confermando il riuso di questa architettura.

La persistenza si ottiene con task pianificati che mimetizzano aggiornamenti software noti: un task Google update ogni 15 minuti raccoglie dati di sistema; un task OneDriveUpdateScheduler ogni minuto lancia PowerShell con bypass dell'execution policy verso un server C2 su TCP porta 12345, con autenticazione in plaintext. Il falso installer Zoom aggiunge un task Zoom-Auto-Installer ogni minuto che esegue wscript.exe: il PowerShell embedded corrisponde a codice precedentemente ospitato come okay.md.

"Most observed attempts against the Ukrainian targets were unsuccessful, an important limit on the campaign's reported impact." — Genians Security Center

Perché l'attribuzione a Kimsuky non si ferma al tema dell'email

Genians ha collegato l'attività ucraina a Kimsuky attraverso evidenza tecnica combinata, non limitandosi al tema degli email o all'uso di GitHub. I punti di convergenza includono nomi file condivisi (first.ini, help.ini), la stringa wolf per l'offuscamento, la struttura del codice e i metodi di upload dei dati riconducibili a precedenti Operation GitPower.

Il dossier non specifica se il follow-up di credential phishing osservato a settembre, a distanza di 4 settimane da un tentativo malware fallito, sia operato dallo stesso attore. Genians considera alternative come un operatore diverso, tool di traduzione o contenuto generato da intelligenza artificiale, citando incongruenze di genere nel testo del phishing.

Il contesto geopolitico suggerisce che il targeting supporti raccolta di intelligence sulla guerra Russia-Ucraina e sulla cooperazione Corea del Sud-Ucraina, inclusa la gestione di prigionieri nordcoreani catturati. Tuttavia, il dossier non stabilisce un collegamento operativo diretto con il deployment di truppe nordcoreane in Russia. Repository correlati contenevano documenti esca in giapponese; Genians non verifica se questo indichi un interesse attivo per target giapponesi o solo materiale preparatorio.

Cosa fare adesso

Raccomandazioni dalle fonti

• Correlare comportamento endpoint-rete: rilevare la sequenza LNK→cmd.exe→curl→VBE→PowerShell.
• Non bloccare genericamente GitHub: le fonti consigliano esplicitamente di evitare il blocco per reputazione, considerato insostenibile e tecnicamente inefficace.

Analisi

Il paradigma del living off trusted land — l'uso di piattaforme legittime come architettura stessa dell'attacco — rappresenta un mutamento nel tradecraft degli APT. Questa analisi editoriale si basa sull'osservazione che GitHub, GitLab e Codeberg non sono solo veicoli di delivery ma componenti strutturali della catena di comando e controllo.

Limiti e incertezze

Il report di Genians presenta limiti significativi. Non è disponibile accesso diretto al report primario: le informazioni sono basate sul report di Genians Security Center del 12 ottobre 2026, riportato da fonti editoriali. Il numero esatto di vittime ucraine confermate non è quantificato; Genians dichiara solo che la maggior parte dei tentativi è fallita. L'entità dei dati effettivamente rubati, se presenti, non è specificata. L'ipotesi su un interesse per target giapponesi, basata su documenti esca in giapponese, non è verificata. Non è confermato se il credential phishing di settembre sia attribuibile allo stesso operatore delle fasi precedenti. Non è disponibile conferma governativa dell'attribuzione a Kimsuky; si tratta di una valutazione vendor, anche se coerente con precedenti report Proofpoint.

Le informazioni sono basate sul report di Genians Security Center del 12 ottobre 2026, riportato da fonti editoriali; non è disponibile accesso diretto al report primario.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• https://cybersecuritynews.com/kimsuky-operation-gitpower/
• https://gbhackers.com/fake-zoom-installers-exploited/
• https://securityonline.info/kimsuky-spear-phishing-ukraine/
• https://www.genians.co.kr/en/blog/threat_intelligence/operation-gitpower
• https://www.cryptika.com/kimsuky-operation-gitpower-uses-github-to-deliver-malware-and-steal-data/
• https://cybersecuritynews.com/kimsuky-uses-local-llms/