КНДР озброюється ШІ: угруповання Kimsuky освоює генеративні моделі для кібератак
Північнокорейське хакерське угруповання Kimsuky, що діє під егідою Розвідувального управління Генштабу КНДР, вийшло на новий рівень цифрового озброєння. Мій аналіз свіжих даних про кіберзагрози показує: зловмисники активно експериментують із локальними інструментами штучного інтелекту, прагнучи вбудувати їх у свої атаки. Це не просто інтерес до технології, а системна робота з модернізації арсеналу.
Локальний ШІ як інструмент конспірації
Під час технічної розвідки виявлено, що Kimsuky розгорнула та налаштувала кілька фреймворків для локального запуску ШІ-моделей — зокрема, Ollama, GPT4All та Msty. Такий підхід не випадковий: обробка даних на власній інфраструктурі зводить до мінімуму ризик витоку конфіденційної або викраденої інформації у зовнішні хмарні сервіси. Це прямий прийом для обходу систем моніторингу та збереження скритності.
Крім того, на пов'язаній з угрупованням інфраструктурі зафіксовано технології retrieval-augmented generation (RAG), які дозволяють ШІ-моделям звертатися до конкретних документів. У зв'язці з цим виявлено інструменти для розпізнавання мови та перекладу, а також Cursor — редактор коду з підтримкою ШІ. Такий набір свідчить про те, що хакери готуються до повного циклу: від генерації шкідливого ПЗ до автоматизації аналізу даних та атак.
Від приманок до автоматизації
Раніше Kimsuky вже використовувала ШІ для створення підроблених фінансових та криптовалютних документів-приманок, що імітують інвестиційні звіти. Тепер же вектор зміщується у бік глибшої інтеграції. За моїми оцінками, угруповання націлене не на разові експерименти, а на створення стійкої системи, де ШІ стане рушійною силою кібероперацій.
Особливу тривогу викликає той факт, що північнокорейські хакери, включно з Kimsuky, активно атакують криптоіндустрію. Лише за 2025 рік подібні групи викрали в цифрових активах понад $2,02 млрд. Технологія RAG дозволяє їм ефективно вилучати дані з викрадених документів, а системи розпізнавання мови — перетворювати аудіозаписи на зручний для пошуку текст. Це прискорює розвідку та підвищує точність подальших ударів.
Важливо підкреслити: поки слідів навчання власних ШІ-моделей не знайдено, діяльність Kimsuky обмежується дослідженнями та накопиченням даних. Але це лише питання часу. Гонка озброєнь у кіберпросторі виходить на новий виток, і індустрії, особливо криптосектору, необхідно терміново адаптувати захисні стратегії до загроз, де ШІ використовується як наступальна зброя.
Моя думка: перехід північнокорейських хакерів на локальні ШІ-інструменти — це сигнал для всіх учасників ринку. Вразливості зростатимуть експоненційно, і ставка на традиційні методи безпеки вже неактуальна. Інвесторам і компаніям варто переглянути свої протоколи захисту, роблячи акцент на ШІ-аналітиці загроз і поведінкових аномаліях.