REX Cyber · Cas documenté dans une source publique. Synthèse et relecture éditoriale.
Le suivi d’Operation GitPower décrit des raccourcis Windows déguisés en documents et des infrastructures de commande reposant sur des services connus. La fabrication de leurres avec une IA modifie leur apparence sans faire disparaître les comportements observables.
Déroulement décrit par la source
- Treize variantes de fichiers LNK collectées entre les 11 et 19 août 2026 utilisent des jetons personnels GitHub pour leurs échanges.
- Le rapport décrit des chargeurs PowerShell obfusqués, des contrôles d’environnement et plusieurs formats de documents de diversion.
- Les métadonnées rapprochent certains leurres de l’agent opencode ; des tâches planifiées dissimulées assurent la persistance décrite.
Comprendre les mécanismes et les enseignements
- Leçon défensive : un document de diversion convaincant ne change pas la nature du fichier initial. L’analyse doit relier le type réel du fichier, le processus qui l’ouvre et les exécutions qui suivent, plutôt que se limiter au contenu finalement affiché à l’utilisateur.
- Un service de développement légitime peut transporter des échanges malveillants. La présence de GitHub dans un flux réseau n’est donc ni une preuve d’innocuité ni un motif suffisant pour bloquer tout le service ; le contexte du processus et l’usage du jeton restent déterminants.
Les vérifications défensives utiles
- Rechercher les raccourcis inhabituels associés aux téléchargements ou pièces jointes suspectes, puis rapprocher leur ouverture des exécutions de scripts. Préserver les fichiers avant manipulation et ne pas les ouvrir sur un poste ordinaire pour vérifier leur apparence.
- Examiner les tâches planifiées récemment créées et les comptes qui les ont enregistrées. Comparer leurs actions aux usages de maintenance connus, car un nom évoquant un produit installé peut être choisi pour masquer un comportement sans rapport avec ce produit.
- Pour les jetons effectivement exposés, organiser leur révocation et l’examen des accès correspondants. Les équipes de développement doivent disposer d’un moyen de signaler un usage inattendu de leurs services sans publier les secrets retrouvés dans des tickets ou échanges collectifs.
Portée et limites
Les indices de production assistée par IA ne démontrent pas que toute la campagne a été automatisée. L’attribution et les périodes mentionnées reprennent l’analyse publiée ; les variantes observées ne constituent pas une liste exhaustive des capacités du groupe.
Rapport original
Kimsuky Uses the AI Agent 'opencode' to Create Decoys as Its GitHub PAT-Based LNK Attacks Evolve — www.genians.co.kr.