Кімсукі виходить на новий рівень: північнокорейські хакери озброюються локальним ШІ для ударів по криптоіндустрії
Світ криптовалют стикається з новою загрозою, яка змінює правила гри в кібербезпеці. Угруповання Kimsuky, що діє в інтересах Північної Кореї, перейшло від експериментів зі штучним інтелектом до його активного застосування в реальних атаках на фінансові та криптовалютні компанії. Це вже не просто хакери з фішинговими розсилками — це противник, озброєний передовими технологічними інструментами.
Під час аналізу інфраструктури зловмисників мені вдалося виявити використання локальних LLM-середовищ на базі Ollama, GPT4All та Msty. Ключова особливість цих рішень — повна автономність. Вони працюють офлайн, підтримуючи метод Retrieval-Augmented Generation, що дозволяє обробляти запити без передачі даних у хмарні сервіси. Це робить атаки практично невидимими для традиційних систем моніторингу, які звикли відстежувати підозрілий мережевий трафік.
Від фішингу до автоматизованих операцій
В арсеналі групи виявлено не лише мовні моделі, а й цілий набір інструментів для їх інтеграції у власне ПЗ. Особливої уваги заслуговує використання Cursor — ІІ-асистента для програмування, а також систем розпізнавання мовлення. Це вказує на те, що Kimsuky будує повноцінний конвеєр автоматизації атак, де ІІ використовується для написання шкідливого коду, аналізу великих масивів даних та координації дій.
Показово, що угруповання робить ставку на готові відкриті технології, а не на навчання власних моделей. Це прагматичний підхід, який дозволяє швидко масштабувати атакуючі можливості без значних ресурсних витрат. Окремо варто зазначити, що фішингові матеріали, створювані за допомогою генеративного ІІ, стали настільки якісними, що імітують документи корейської ІІ-платформи для інвестицій із професійним оформленням та природною мовою. Це серйозний виклик для систем фільтрації спаму та навчання співробітників.
Ситуація ускладнюється тим, що в серпні криптобіржа Bybit уже подала цивільний позов проти КНДР та Lazarus Group, що підкреслює масштаб загрози з боку північнокорейських хакерів. Однак, на мою думку, індустрії час переглянути підходи до захисту: традиційні методи, засновані на аналізі мережевих аномалій, стають неефективними проти автономних ІІ-систем. Нам потрібні нові стратегії, включаючи поведінковий аналіз та проактивний пошук загроз усередині периметра, інакше ми ризикуємо відстати від противника, який уже використовує ІІ як основну зброю.