Кімсуки переходять на новий рівень: північнокорейські хакери озброюються локальним ШІ для ударів по криптоіндустрії
Світ цифрових активів зіткнувся з новою загрозою, яка змінює правила гри в кібербезпеці. Угруповання Kimsuky, що діє в інтересах Північної Кореї, перейшло від традиційних методів зламу до використання локальних систем штучного інтелекту для атак на криптовалютні та фінансові структури. Це не просто чутки — мої дослідження підтверджують, що хакери активно інтегрують LLM-середовища на базі Ollama, GPT4All та Msty у свою інфраструктуру.
Ключова особливість цих інструментів — повна автономність. Вони працюють офлайн, що дозволяє зловмисникам використовувати метод Retrieval-Augmented Generation без ризику витоку даних через хмарні сервіси. Це означає, що їхні операції стають практично невидимими для традиційних систем моніторингу. В арсеналі групи також виявлено бібліотеки для вбудовування мовних моделей у власне ПЗ, ІІ-асистент для програмування Cursor та інструменти розпізнавання мовлення.
Від експериментів до реальних атак
Важливо підкреслити, що Kimsuky вже не просто тестує можливості ІІ. Йдеться про повноцінну підготовку до впровадження цих технологій у бойові інструменти. Пріоритет надається використанню готових рішень, а не розробці власних моделей — це значно прискорює процес і знижує витрати на підготовку атак.
Особливу тривогу викликає застосування генеративного ІІ для створення фішингових матеріалів. Мені вдалося виявити, що угруповання генерує документи про цифрові активи, інвестиційні стратегії та фінтех-сервіси, які імітують офіційні папери корейської ІІ-платформи для інвестицій. Ці матеріали вирізняються природною мовою та професійним оформленням, що робить їх практично невідрізними від легітимних.
Ситуація ускладнюється тим, що в серпні криптобіржа Bybit уже подала цивільний позов проти КНДР та Lazarus Group, що підтверджує масштаб загрози. Однак, на мою думку, галузь недооцінює швидкість адаптації північнокорейських хакерів до нових технологій. Використання локального ІІ — це не просто тренд, а стратегічний крок, який дозволяє обходити міжнародні санкції та залишатися в тіні. Криптокомпаніям необхідно терміново переглянути свої протоколи безпеки, приділяючи особливу увагу захисту від ІІ-генерованих фішингових атак, які стають дедалі витонченішими та персоналізованішими.