Північнокорейські хакери озброїлися локальним ШІ: нова загроза для криптоіндустрії
Аналіз останніх даних кіберрозвідки виявив тривожну тенденцію: північнокорейське угруповання Kimsuky, відоме своїми атаками на фінансовий сектор, активно інтегрує локальні системи штучного інтелекту у свій арсенал. Йдеться не про просте експериментування, а про повноцінну підготовку до використання ШІ в реальних бойових операціях проти криптовалютних і фінтех-компаній.
Офлайн-ШІ як нова зброя
В інфраструктурі хакерів виявлено локальні середовища на базі відкритих платформ Ollama, GPT4All та Msty. Ключова особливість цих інструментів — повна автономність. Вони працюють офлайн, використовуючи метод Retrieval-Augmented Generation (RAG), що дозволяє обробляти запити та генерувати контент без передачі даних у хмарні сервіси. Це робить атаки практично невидимими для традиційних систем моніторингу трафіку.
Крім того, в арсеналі групи знайдено бібліотеки для вбудовування мовних моделей у власне програмне забезпечення, а також ШІ-асистент для програмування Cursor та інструменти розпізнавання мовлення. Такий набір свідчить про системний підхід: хакери не просто використовують готові рішення, а адаптують їх під свої завдання — від автоматизації фішингу до аналізу вразливостей і прискорення розробки шкідливого коду.
Фішинг нового покоління
Особливе занепокоєння викликає застосування генеративного ШІ для створення фішингових матеріалів. Kimsuky вже генерує документи, що імітують офіційні папери корейських ШІ-платформ для інвестицій. Ці матеріали вирізняються природною мовою, професійним оформленням і високим ступенем правдоподібності, що значно підвищує шанси на успішний обман навіть досвідчених співробітників криптокомпаній.
Судячи з усього, угруповання зробило ставку на використання готових технологій, а не на навчання власних моделей з нуля. Це прагматичний підхід, який дозволяє швидко масштабувати атаки та знижувати витрати на розробку.
Мій коментар: Перехід Kimsuky на локальні ШІ-системи — це сигнал для всієї галузі. Традиційні методи захисту, засновані на аналізі мережевого трафіку, стають менш ефективними. Криптокомпаніям необхідно переглядати свої протоколи безпеки, приділяючи особливу увагу поведінковому аналізу та навчанню персоналу розпізнаванню надреалістичних фішингових атак. Той факт, що група вже використовує ШІ для генерації документів, що імітують легітимні платформи, — це лише верхівка айсберга. Найближчим часом ми можемо побачити атаки, повністю автоматизовані та адаптовані в реальному часі.