Kimsuky z Korei Północnej zwraca się ku AI, gdy firmy kryptowalutowe stają w obliczu nowych zagrożeń

Kimsuky tworzy lokalne środowiska AI, szukając sposobów na wprowadzenie sztucznej inteligencji do swoich operacji cyberataków. Powiązany z Koreą Północną aktor zagrożenia, który często atakował sektory kryptowalut i finansów, został znaleziony z lokalnymi środowiskami LLM wykorzystującymi Ollama, GPT4All i Msty.

Genians stwierdził, że lokalne podejście zapobiega przesyłaniu danych rozmów do zewnętrznych usług AI, co zmniejsza ryzyko zewnętrznego ujawnienia.

AI dodane do podręcznika ataków kryptograficznych

Zgodnie z raportem, działalność ta pokazała, że grupa buduje zdolności do integracji sztucznej inteligencji w swoich atakach. W GPT4All śledczy wykryli bazę danych powiązaną z funkcją LocalDocs. Firma zajmująca się cyberbezpieczeństwem stwierdziła, że dowody wskazują, iż aktor zagrożenia mógł próbować połączyć dokumenty w swoim posiadaniu z systemem AI i wykorzystać je jako źródło wiedzy.

Grupa zebrała również biblioteki i frameworki, które mogą integrować sztuczną inteligencję w oprogramowaniu. Należały do nich LLaMaSharp, Microsoft Semantic Kernel i Microsoft Agents AI. Komponenty obejmowały lokalne wykonanie AI, pobieranie dokumentów, zautomatyzowane agenty oraz integrację z zewnętrznymi usługami AI.

Śledztwo wykazało również pliki związane z Whisper i faster-whisper, narzędziami do przekształcania mowy na tekst. Genians stwierdził, że takie narzędzia mogą być nadużywane do przetwarzania i analizowania materiałów skradzionych lub zebranych z kompromitowanych systemów.

Firma dodała ponadto,

„To dostarcza konkretnych dowodów, że powiązany z Kimsukym aktor zagrożenia wychodzi poza jednorazowe eksperymenty z AI i nieustannie przygotowuje się do integracji technologii w rzeczywiste zdolności ataku, w tym rozwój złośliwego oprogramowania, analizę danych i rozwój technik ataku.”

Korea Północna, Hakerzy i Przemysł Krypto

Z perspektywy, napastnicy powiązani z Koreą Północną byli odpowiedzialni za ponad połowę skradzionej kryptowaluty w pierwszej połowie 2026 roku, według niedawnych ustaleń Blockaid. Firma podała, że napastnicy powiązani z DPRK skradli około 609 milionów dolarów w tym okresie, co stanowi około 55% z 1,1 miliarda dolarów utraconych w 212 incydentach.

Ataki KelpDAO i Drift Protocol były powiązane z TraderTraitor, grupą sponsorowaną przez państwo Korei Północnej związaną z Lazarusem. Dwa ataki stanowiły większość strat powiązanych z DPRK. Humanity Protocol również stracił 32 miliony dolarów w ataku związanym z tą samą grupą. Ustalenia podkreślają ciągłą rolę Korei Północnej w niektórych z największych kradzieży kryptowalut w 2026 roku.

Ci operacyjni również starali się uzyskać dostęp od wewnątrz branży. Znany badacz blockchain ZachXBT wcześniej raportował, że północnokoreańscy pracownicy IT wygenerowali ponad 3,5 miliona dolarów w kryptowalucie poprzez fałszywe tożsamości deweloperów i skoordynowany system płatności. Operacja wyszła na jaw po tym, jak haker skompromitował urządzenie jednego z pracowników i ujawnił rekordy związane z prawie 390 kontami.

Wykradzione dane pokazały, że operacja przynosiła około 1 miliona dolarów miesięcznie. Pracownicy używali fałszywych tożsamości i sfałszowanych dokumentów, aby zdobyć pracę przy różnych projektach. Ich płatności były śledzone przez wewnętrzną platformę, na której pracownicy zgłaszali swoje dochody, a administratorzy zarządzali transferami. Rekordy z naruszonego urządzenia również pokazały użycie VPN-ów i wielu wymyślonych osobowości. Logi czatu ujawniły, że dziesiątki pracowników były aktywne w tym samym systemie.

Źródło: CryptoPotato