گروه Kimsuky در عملیاتی تحت عنوان Operation GitPower، از پلتفرم‌های معتبری مانند GitHub، GitLab و Codeberg برای توزیع بدافزار، اجرای دستورات از راه دور و سرقت داده‌ها از متخصصان حوزه‌های دیپلماسی، امنیت و سیاست‌های بین‌المللی استفاده کرده است. این عامل تهدید (Threat Actor) با ترکیب ایمیل‌های هدفمند، فایل‌های PDF جعلی و اسکریپت‌های ویندوز، درخواست‌های کاری روتین را به نقاط ورود برای جاسوسی سایبری تبدیل می‌کند.
سازوکار حمله و مهندسی اجتماعی
این حملات با ارسال دعوت‌نامه‌های کنفرانس یا درخواست‌های پژوهشی آغاز می‌شود تا اعتماد هدف جلب گردد. روند حمله به شرح زیر است:
- برقراری ارتباط: مهاجم ابتدا ایمیلی بدون لینک یا پیوست مخرب ارسال می‌کند تا شک سیستم‌های امنیتی برانگیخته نشود.
- ارسال محموله: پس از پاسخ هدف، یک آرشیو ZIP (گاهی رمزگذاری شده برای عبور از ابزارهای امنیتی ایمیل) ارسال می‌شود که حاوی یک فایل HTML جعلی و یک میانبر (Shortcut) با پسوند
.lnkاست که به شکل PDF نمایش داده شده است. - استفاده از پلتفرم‌های ابری: از Codeberg برای میزبانی آرشیوها، از GitLab برای ارائه اسناد فریبنده و اسکریپت‌ها و از GitHub برای تحویل Payload و انتقال داده‌های سرقتی استفاده می‌شود.
تحلیل فنی و زنجیره اجرا
اجرای فایل میانبر مخرب، منجر به باز شدن cmd.exe می‌شود که از ابزار curl برای دانلود فایل‌ها از GitLab استفاده می‌کند. بسته به نسخه حمله، یک PDF فریبنده برای کاربر باز شده و همزمان یک اسکریپت VBE در پس‌زمینه اجرا می‌گردد.
این اسکریپت اولیه، مؤلفه‌ای را در حافظه (In-Memory) اجرا می‌کند. برای دور زدن سیستم‌های شناسایی، دستورات PowerShell با درج کلمات اضافی مبهم‌سازی شده و درست قبل از اجرا، با متد Replace() به حالت اصلی باز می‌گردند. سپس یک Task زمان‌بندی شده (Scheduled Task) با نام جعلی مانند GoogleUpdateTask ایجاد می‌شود که هر ۱۵ دقیقه یک‌بار اجرا شده و اطلاعات سیستم و لیست پوشه Downloads را جمع‌آوری می‌کند.
سرقت داده‌ها و استمرار (Persistence)
اطلاعات جمع‌آوری شده با کدگذاری Base64 و از طریق GitHub Contents API و با استفاده از یک Token دسترسی سخت‌افزاری (Hardcoded)، به مخزن مهاجم آپلود می‌شوند. پس از اتمام عملیات، فایل‌های موقت و اسکریپت اولیه حذف می‌گردند تا ردپایی باقی نماند.
علاوه بر این، یک نصب‌کننده جعلی 64 بیتی برای نرم‌افزار Zoom در یک مخزن عمومی GitHub قرار داده شده بود. این فایل پس از اجرا، اسکریپت‌های مخفی را در سیستم قرار داده و یک Task با نام Zoom-Auto-Installer ایجاد می‌کند که هر دقیقه یک‌بار اجرا می‌شود. در نهایت، برای فریب کاربر، نصب‌کننده واقعی Zoom اجرا می‌گردد تا کاربر تصور کند برنامه به درستی نصب شده است.
توصیه‌های امنیتی برای SOC و مدیران امنیت
با توجه به اینکه مهاجمان از پلتفرم‌های ابری معتبر استفاده می‌کنند، مسدود کردن کلی این سایت‌ها عملی نیست. توصیه می‌شود موارد زیر رصد شوند:
- بررسی رویدادهای Endpoint برای شناسایی اجرای
cmd.exe،curlیا PowerShell توسط فایل‌های.lnk. - پایش ایجاد Taskهای زمان‌بندی شده با نام‌های مشکوک (مانند به‌روزرسانی‌های گوگل یا OneDrive) که به اسکریپت‌های VBS یا PowerShell اشاره دارند.
- مانیتورینگ ارتباطات شبکه با APIهای GitHub برای حجم‌های غیرعادی آپلود داده.
- بررسی امضای دیجیتال (Digital Signature) تمامی فایل‌های نصب‌کننده (Installer) پیش از اجرا.
