O grupo de espionagem cibernética Kimsuky, ligado à Coreia do Norte, ampliou a campanha Operação GitPower ao usar instaladores falsos do Zoom e arquivos de atalho maliciosos do Windows para atingir especialistas ucranianos que atuam em diplomacia, segurança e política internacional.
Pesquisadores do Genians Security Center constataram que a campanha combina spear phishing (ataque de phishing direcionado) com iscas que incentivam a resposta, arquivos LNK (atalhos do Windows) com aparência de PDF (formato de documento portátil), plataformas públicas de hospedagem de código, execução oculta de PowerShell, persistência por meio de tarefas agendadas e infraestrutura de comando e controle (C2), usada pelos atacantes para gerenciar sistemas comprometidos.
Os ataques começam com e-mails altamente personalizados, que se passam por organizadores de conferências, pesquisadores de políticas públicas ou outros contatos profissionais de confiança.
Em um dos casos, os criminosos se apresentaram como organizadores da Korea Cyber Security Conference e convidaram especialistas ucranianos em segurança para participar como palestrantes.
As mensagens continham detalhes legítimos do evento, mas inicialmente não traziam nenhum anexo ou link malicioso. A tática visava estimular uma resposta e, ao mesmo tempo, evitar a detecção de phishing por gateways de segurança.
Depois que o destinatário respondeu, o Kimsuky enviou um arquivo ZIP (pacote compactado) disfarçado de material oficial de convite.
O arquivo continha uma isca em HTML junto com um arquivo LNK malicioso, com um nome como KCSCON_2026_Official_Invitation.pdf.lnk.
O atalho usava um ícone de PDF e um truque de dupla extensão para ocultar o tipo real do arquivo, explorando o fato de que o Windows costuma esconder extensões conhecidas.
Ao abrir o LNK, é iniciado o cmd.exe (prompt de comando do Windows), que baixa um PDF de isca e um script de próxima etapa a partir de repositórios no GitLab controlados pelos atacantes.
A Genians afirmou, em um relatório compartilhado com o GBhackers, que a atividade tem foco em espionagem e reflete o esforço contínuo do Kimsuky para adaptar técnicas conhecidas de engenharia social à coleta de inteligência geopolítica.
Instaladores falsos do Zoom explorados
O script é salvo localmente como um arquivo VBE (Visual Basic Encoded) e executado em segundo plano, enquanto a vítima vê um documento aparentemente inofensivo.
Essa combinação entre um conteúdo visível de isca e uma execução oculta foi planejada para reduzir suspeitas nas primeiras etapas do comprometimento.
O texto do link era “Faça login no Zoom via Gmail”, combinando de forma pouco natural o serviço de e-mail do Google com a plataforma de videoconferência Zoom.
A carga de próxima etapa usa comandos de PowerShell ofuscados, incluindo rotinas de substituição de strings que reconstroem o código malicioso apenas imediatamente antes da execução.
Em uma cadeia observada, o malware criou uma tarefa agendada que se passava por um componente de atualização do Google, coletou a saída do systeminfo e uma lista da pasta Downloads da vítima, codificou os dados em Base64 e os enviou pela API de conteúdo do GitHub (interface de programação de aplicações), usando um token de acesso fixo no código.
Em seguida, os arquivos temporários e os scripts iniciais foram apagados para reduzir evidências forenses.
O Kimsuky também distribuiu outro conjunto de arquivos LNK, apresentados como um relatório sobre um marco de paz na guerra Rússia-Ucrânia e como o currículo de um pesquisador social.
Esses atalhos baixaram arquivos disfarçados de conteúdo comum de repositórios do GitHub, salvando o arquivo LICENSE como um script VBScript e o arquivo okay.md como uma carga em PowerShell.
O VBScript estabeleceu persistência por meio de uma tarefa agendada chamada OneDriveUpdateScheduler, que era executada a cada minuto e iniciava repetidamente o componente em PowerShell com a política de execução contornada.
A carga em PowerShell se conectava a um servidor fixo de comando e controle pela porta TCP 12345 (porta de comunicação do Protocolo de Controle de Transmissão), se autenticava com uma senha em texto simples, baixava scripts adicionais, executava-os, exfiltrava arquivos recém-criados e apagava os resultados transferidos com sucesso.
O mecanismo transforma uma isca enganosa em um framework de controle remoto pós-comprometimento.
Paralelamente, os criminosos enviaram o arquivo zoominstaller.exe para um repositório público no GitHub e o apresentaram como um instalador legítimo do Zoom.
O executável de 64 bits, sem assinatura digital, incorpora os arquivos desktop.ps1 e desktop.vbs codificados em Base64, os decodifica na pasta C:\\Users\\Public\\Videos e inicia o PowerShell oculto por meio do arquivo VBS (Visual Basic Script).
O programa também cria uma tarefa agendada recorrente chamada Zoom-Auto-Installer, que é executada pelo wscript.exe a cada minuto.
Os pesquisadores constataram que a funcionalidade em PowerShell incorporada ao instalador era igual a um código anteriormente hospedado como okay.md na infraestrutura do GitHub do grupo, o que vincula o instalador falso ao conjunto de ferramentas da Operação GitPower.
A campanha demonstra que o Kimsuky reutiliza técnicas comprovadas, em vez de usar uma família de malware totalmente nova. Entre elas estão o abuso de serviços confiáveis, pretextos baseados em credenciais, carregadores em PowerShell, staging no GitHub e no GitLab, documentos de isca e tarefas agendadas.
Os defensores devem priorizar a detecção de arquivos LNK que iniciem cmd.exe, curl, PowerShell, wscript.exe ou cargas em VBS; de tarefas agendadas que lembrem atualizações do Zoom, do Google ou do OneDrive; de instaladores de aplicativos sem assinatura digital; e de tráfego inesperado para GitHub, GitLab ou Codeberg a partir de endpoints de usuários.
IOCs (indicadores de comprometimento)
Nota: endereços IP e domínios foram intencionalmente desfigurados (por exemplo, com [.]) para evitar resolução ou links acidentais. Restaure o formato original apenas em plataformas controladas de inteligência de ameaças, como MISP, VirusTotal ou seu SIEM (sistema de gestão e correlação de eventos de segurança).
Interrompa ameaças cibernéticas antes do impacto, com um MTTR (tempo médio de resposta) 21 minutos mais rápido. Integre o Sandbox da ANY.RUN ao seu SOC (centro de operações de segurança).
