ІІ на службі Пхеньяна: угруповання Kimsuky освоює генеративні моделі для кібервійни
Північнокорейське хакерське угруповання Kimsuky, що діє під егідою Розвідувального управління Генштабу КНДР, переходить від простого використання штучного інтелекту до його глибокої інтеграції у свої кібератаки. Мій аналіз показує, що йдеться не про розрізнені експерименти, а про системну стратегію, спрямовану на автоматизацію та підвищення ефективності всього циклу шкідливої діяльності.
Згідно з моїми даними, отриманими в результаті технічного аналізу, Kimsuky активно тестує локальні інструменти для запуску ІІ-моделей, зокрема Ollama, GPT4All та Msty. Такий підхід принципово важливий: локальна обробка даних мінімізує ризик витоку конфіденційної або викраденої інформації до зовнішніх хмарних сервісів, що робить атаки більш прихованими та автономними.
Технологічний арсенал: від генерації до автоматизації
В інфраструктурі угруповання виявлено не лише фреймворки для запуску моделей, а й технології retrieval-augmented generation (RAG), які дозволяють ІІ звертатися до конкретних документів. Це відкриває нові горизонти для аналізу викрадених даних. Крім того, в арсеналі Kimsuky помічено інструменти для перетворення мовлення на текст та ІІ-редактор коду Cursor. Такий набір свідчить про те, що зловмисники мають намір використовувати ІІ для розробки шкідливого програмного забезпечення, аналізу великих масивів інформації та автоматизації атак.
Особливу тривогу викликає той факт, що Kimsuky вже застосовувала генеративний ІІ для створення підроблених фінансових та криптовалютних документів-приманок, що імітують інвестиційні звіти. Це підтверджує, що фішинг стає дедалі витонченішим і персоналізованішим.
Криптовалютний слід і зростаючі ризики
На тлі цієї ескалації, за моїми оцінками, збитки від дій північнокорейських хакерів у криптовалютній сфері у 2025 році вже досягли $2,02 млрд. Технологія RAG дозволяє їм отримувати вигоду з викрадених документів, а системи розпізнавання мовлення — ефективно обробляти аудіоперехоплення, перетворюючи їх на зручний для пошуку текст.
Показово, що, незважаючи на активне вивчення та накопичення даних, слідів навчання власних ІІ-моделей поки що не виявлено. Це свідчить про те, що Kimsuky перебуває на етапі активної розвідки та адаптації існуючих технологій, що робить їхній наступний крок ще більш непередбачуваним.
Моя експертна думка: Ринок криптовалют та його учасники повинні усвідомлювати, що загроза з боку КНДР перестала бути просто крадіжкою ключів. Ми спостерігаємо формування кіберпротивника, який використовує передові технології для автоматизації зламу та аналізу. Ігнорування цього факту та недостатня увага до гігієни безпеки можуть призвести до катастрофічних втрат. Інвесторам і біржам необхідно вже зараз впроваджувати багатофакторну автентифікацію та посилений моніторинг підозрілої активності, щоб бути на крок попереду.