Chiến dịch GitPower: Nhóm Kimsuky lợi dụng GitHub để phát tán mã độc

Nhóm tin tặc Kimsuky, có liên quan đến Triều Tiên, đang tận dụng các nền tảng lưu trữ mã nguồn uy tín như GitHub để tiến hành các hoạt động gián điệp mạng tinh vi, tập trung vào việc phát tán mã độc và đánh cắp dữ liệu.

Phương thức tấn công tinh vi trong chiến dịch GitPower

Chiến dịch mang tên Operation GitPower chủ yếu nhắm vào các chuyên gia tại Ukraine hoạt động trong các lĩnh vực ngoại giao, an ninh và chính sách quốc tế. Nhóm này kết hợp nhiều kỹ thuật như lừa đảo có mục tiêu (spear phishing), tệp PDF giả mạo và các script trên hệ điều hành Windows nhằm biến các trao đổi công việc thông thường thành điểm khởi đầu cho việc xâm nhập hệ thống.

Một kịch bản tấn công điển hình được ghi nhận vào ngày 6 tháng 8, bắt đầu bằng lời mời tham gia hội nghị giả mạo mang tên "Korea Cyber Security Conference". Điểm đáng chú ý là kẻ tấn công không gửi ngay tệp độc hại hoặc liên kết trong email ban đầu. Chỉ khi nạn nhân có phản hồi, chúng mới gửi tệp ZIP chứa tài liệu mời, thậm chí đặt mật khẩu cho các phiên bản sau để né tránh sự quét dọn của các hệ thống bảo mật email.

Quy trình thực thi mã độc và qua mặt bảo mật

Khi người dùng tương tác và mở tệp LNK được ngụy trang khéo léo dưới dạng tài liệu PDF, hệ thống sẽ kích hoạt tiến trình cmd.exe. Sử dụng lệnh curl, mã độc tiến hành tải các thành phần bổ sung từ GitLab. Trong khi một tệp PDF giả mạo hiển thị trên màn hình để đánh lạc hướng người dùng, một tệp script VBE sẽ chạy ngầm để tiếp tục tải về các thành phần độc hại tiếp theo.

Để vô hiệu hóa các giải pháp phát hiện và phản hồi trên thiết bị đầu cuối (EDR/AV), nhóm tin tặc áp dụng kỹ thuật làm rối mã nguồn bằng cách chèn các từ khóa thừa vào lệnh PowerShell. Ngay trước thời điểm thực thi, hàm Replace() sẽ được kích hoạt để loại bỏ các từ thừa này, giúp mã độc hoạt động mà không bị phát hiện.

Đánh cắp dữ liệu và khuyến nghị phòng thủ

Toàn bộ thông tin thu thập được từ nạn nhân sẽ được mã hóa theo chuẩn Base64. Sau đó, dữ liệu này được tự động tải lên GitHub thông qua GitHub Contents API, tận dụng một access token đã được mã hóa cứng sẵn trong mã nguồn. Ngay khi hoàn tất quá trình, các tệp tạm thời cùng script khởi đầu sẽ bị xóa sạch nhằm phi tang dấu vết.

Trước những diễn biến phức tạp của chiến dịch, các chuyên gia bảo mật đưa ra khuyến cáo không nên thực hiện việc chặn hoàn toàn các nền tảng phát triển như GitHub để tránh ảnh hưởng đến công việc chuyên môn. Thay vào đó, các tổ chức nên chú trọng giám sát chặt chẽ các hành vi bất thường xuất hiện trên thiết bị đầu cuối, đồng thời tham khảo khung MITRE ATT&CK Framework để nhận diện các kỹ thuật tương ứng như T1059 và T1190.