Kimsuky masseproduserte lokkedokumenter med kodeagenten opencode

13 ondsinnede LNK-filer samlet inn mellom 11. og 19. august bærer den samme signaturen: i metadataen til flere av lokke-PDF-ene står kodeagenten opencode oppført som Creator og Producer, mens Author står som anonymous. Det skriver Genians Security Center i en trusselrapport publisert 6. september. Selskapet knytter filene til den nordkoreanske gruppen Kimsuky og til kampanjen de sporer som Operation GitPower.

opencode er en åpen kodeagent som skriver kode og oppretter filer ut fra instruksjoner i et terminalvindu. Genians har tidligere dokumentert at Kimsuky brukte KI og lokale språkmodeller i forberedelsesfasen, men dette er første gang selskapet slår fast at en kodeagent er brukt til selve produksjonen av angrepsmateriell.

Det tydeligste sporet er slurv. Flere av dokumentene inneholder fortsatt merkelapper som «(midlertidig verdi)» der betalingssykluser og rentesatser skulle stått, altså plassholdere fra utkastet som aldri ble byttet ut. En annen PDF-familie bærer metadata fra HeadlessChrome og Skia/PDF, som tyder på at dokumentene først ble generert som HTML og deretter konvertert via utskriftsfunksjonen i en Chrome uten skjerm.

«Dette viser at trusselaktøren gjenbruker det samme lokkedokumentet på tvers av repositorier og bare randomiserer filnavnet.» — Genians Security Center, trusselrapport 6. september 2026

Infrastrukturen er like interessant som innholdet. Filnavnene utgir seg for å være finansdokumenter: utbetaling av midler, forsikringspremier, rentebetaling, politiske låneordninger, sertifikatfornyelse og Visa-betalinger. Det er et skifte bort fra Kimsukys vanlige lokkemat om diplomati og sikkerhetspolitikk, mot ansatte i bank og næringsliv. Når LNK-filen kjøres, starter PowerShell med en unormalt lang argumentstreng der lasteren ligger kryptert, og henter neste steg fra GitHub Raw Content med en hardkodet Personal Access Token. Pastebin brukes som reservekanal hvis GitHub-veien stenges.

De nye variantene ser også etter deg som analytiker. De sjekker om analyseverktøy og virtualiseringsprosesser kjører, kontrollerer brukernavn mot kjente sandkassenavn, og sletter kommandohistorikken for å fjerne spor. Skjulte planlagte oppgaver registreres under navn som etterligner BitLocker og MATLAB, kjører første gang fem minutter etter at de er registrert, og gjentas deretter med 10 til 35 minutters mellomrom.

Hva bør du gjøre?

1. Se etter LNK-filer som opprettes når et ZIP-arkiv pakkes ut, og på PowerShell-prosesser som startes rett etterpå med uvanlig lange argumenter.
2. Behandle utgående trafikk mot raw.githubusercontent.com og pastebin.com som noe som skal kunne forklares, ikke som normal bakgrunnsstøy fra utviklermaskiner.
3. Legg PDF-metadata inn i triagen: Creator eller Producer satt til et agentverktøy, Author satt til anonymous, og gjenstående plassholdere i brødteksten er billige og pålitelige signaler.