Kimsuky: північнокорейські хакери озброїлися локальним ШІ для ударів по криптоіндустрії
Аналіз останніх кіберзагроз показує, що північнокорейське угруповання Kimsuky перейшло до нової тактики: впровадження локальних великих мовних моделей (LLM) у свої атакуючі ланцюжки. У фокусі — криптовалютні біржі, фінтех-платформи та інвестиційні компанії, де циркулюють значні ліквідні активи. Це не просто розвідка, а системна підготовка до високоточних операцій.
Під час технічного дослідження інфраструктури зловмисників виявлено ізольовані LLM-середовища на базі відкритих рішень Ollama, GPT4All та Msty. Ключова особливість — повна автономність: моделі працюють офлайн, використовуючи метод Retrieval-Augmented Generation (RAG). Це дозволяє хакерам обробляти викрадені дані та генерувати фішинговий контент без ризику витоку через хмарні сервіси, що суттєво ускладнює їх відстеження.
Окрім самих моделей, в арсеналі групи знайдено бібліотеки для інтеграції ШІ у власне ПЗ, асистент для програмування Cursor та інструменти розпізнавання мовлення. Така комплектація вказує на зрілий підхід: Kimsuky не експериментує, а активно вбудовує ШІ в процеси розробки шкідливого коду, автоматизації атак та аналізу великих масивів даних.
Особливу тривогу викликає використання генеративного ШІ для створення фішингових документів. Виявлені матеріали імітують офіційну документацію південнокорейських інвестиційних ШІ-платформ, відрізняються природною мовою та професійним оформленням. Це означає, що навіть досвідчений користувач може не відрізнити підробку від оригіналу, що підвищує ефективність соціальної інженерії на порядок.
За моєю оцінкою, цей тренд — логічна відповідь на посилення захисних заходів у криптоіндустрії. Перехід до локальних LLM дозволяє КНДР обходити системи моніторингу трафіку та хмарні фільтри, роблячи атаки менш передбачуваними. Галузі необхідно терміново переглядати протоколи перевірки вхідної документації та впроваджувати поведінковий аналіз, а не покладатися лише на сигнатури загроз. Показово, що раніше Bybit уже ініціювала судовий позов проти КНДР та Lazarus Group — тепер же ми бачимо, що й інші північнокорейські кластери, включно з Kimsuky, нарощують свій технологічний потенціал.