Kimsuky: северокорейские хакеры вооружились локальным ИИ для ударов по криптоиндустрии
Анализ последних киберугроз показывает, что северокорейская группировка Kimsuky перешла к новой тактике: внедрению локальных больших языковых моделей (LLM) в свои атакующие цепочки. В фокусе — криптовалютные биржи, финтех-платформы и инвестиционные компании, где циркулируют значительные ликвидные активы. Это не просто разведка, а системная подготовка к высокоточным операциям.
В ходе технического исследования инфраструктуры злоумышленников обнаружены изолированные LLM-среды на базе открытых решений Ollama, GPT4All и Msty. Ключевая особенность — полная автономность: модели работают офлайн, используя метод Retrieval-Augmented Generation (RAG). Это позволяет хакерам обрабатывать украденные данные и генерировать фишинговый контент без риска утечки через облачные сервисы, что существенно усложняет их отслеживание.
Помимо самих моделей, в арсенале группы найдены библиотеки для интеграции ИИ в собственное ПО, ассистент для программирования Cursor и инструменты распознавания речи. Такая комплектация указывает на зрелый подход: Kimsuky не экспериментирует, а активно встраивает ИИ в процессы разработки вредоносного кода, автоматизации атак и анализа больших массивов данных.
Особую тревогу вызывает использование генеративного ИИ для создания фишинговых документов. Обнаруженные материалы имитируют официальную документацию южнокорейских инвестиционных ИИ-платформ, отличаются естественным языком и профессиональным оформлением. Это означает, что даже искушенный пользователь может не отличить подделку от оригинала, что повышает эффективность социальной инженерии на порядок.
По моей оценке, этот тренд — логичный ответ на усиление защитных мер в криптоиндустрии. Переход к локальным LLM позволяет КНДР обходить системы мониторинга трафика и облачные фильтры, делая атаки менее предсказуемыми. Отрасли необходимо срочно пересматривать протоколы проверки входящей документации и внедрять поведенческий анализ, а не полагаться только на сигнатуры угроз. Показательно, что ранее Bybit уже инициировала судебный иск против КНДР и Lazarus Group — теперь же мы видим, что и другие северокорейские кластеры, включая Kimsuky, наращивают свой технологический потенциал.