Связанная с КНДР хакерская группировка Kimsuky использует локальные ИИ-системы, чтобы атаковать криптовалютные и финансовые компании. Об этом заявили южнокорейские аналитики кибербезопасности Genians.
Исследователи обнаружили у Kimsuky локальные LLM-среды на базе Ollama, GPT4All и Msty. Такие инструменты работают офлайн и поддерживают метод Retrieval-Augmented Generation — запросы можно делать без отправки данных в облачные сервисы.
Схема атак с применением ИИ. Источник: Genians.
В инфраструктуре группы исследователи также нашли библиотеки и фреймворки для встраивания языковых моделей в собственное ПО, ИИ-ассистент для программирования Cursor и инструменты распознавания речи.
В Genians связали эту активность с интеграцией открытых LLM в разработку вредоносных программ, анализ данных и автоматизацию атак.
По оценке компании, Kimsuky уже не «пробует ИИ», а готовит его встраивание в реальные атакующие инструменты. В приоритете использование готовых технологий, а не обучение собственных моделей.
Отдельно в Genians отметили, что группа продолжает применять генеративный ИИ для создания фишинговых документов о цифровых активах, инвестиционных стратегиях и финтех-сервисах. Часть материалов имитировала документы корейской ИИ-платформы для инвестиций и отличалась естественным языком и профессиональным оформлением.
Фишинговое письмо, сгенерированное ИИ. Источник: Genians.
Напомним, в августе криптобиржа Bybit подала гражданский иск против КНДР и Lazarus Group.