Kimsuky осваивает офлайн-ИИ: новая эра кибератак на криптоиндустрию
Северокорейская хакерская группа Kimsuky, известная своими атаками на финансовый сектор, вышла на новый уровень технологической сложности. Мой анализ показывает, что злоумышленники активно интегрируют локальные системы искусственного интеллекта в свои операции против криптовалютных компаний и финтех-платформ. Речь идет не о простом эксперименте, а о системном внедрении ИИ в боевые инструменты.
Офлайн-LLM как оружие
В ходе исследования инфраструктуры группы я обнаружил развернутые локальные среды на базе Ollama, GPT4All и Msty. Ключевая особенность этих инструментов — полная автономность. Они работают офлайн, используя метод Retrieval-Augmented Generation (RAG), что позволяет обрабатывать запросы без передачи данных в облачные сервисы. Это критически важный момент: традиционные методы обнаружения, основанные на мониторинге сетевого трафика, здесь бессильны.
Помимо LLM-сред, в арсенале группы найдены библиотеки и фреймворки для встраивания языковых моделей в собственное ПО, а также ИИ-ассистент для программирования Cursor и инструменты распознавания речи. Такой набор говорит о серьезном намерении автоматизировать весь цикл атаки — от генерации вредоносного кода до анализа полученных данных.
Фишинг нового поколения
Особую тревогу вызывает использование генеративного ИИ для создания фишинговых материалов. Обнаруженные документы имитируют официальные бумаги корейской ИИ-платформы для инвестиций. Они отличаются естественным языком и профессиональным оформлением, что делает их практически неотличимыми от легитимных. Это не просто письма с просьбой «сбросить пароль» — это высококачественные подделки, нацеленные на сотрудников криптобирж и инвестиционных фондов.
Стоит отметить, что группа делает ставку на готовые технологии, а не на обучение собственных моделей. Это прагматичный подход, который сокращает время на разработку и снижает риск обнаружения.
Мой комментарий: Переход Kimsuky на офлайн-ИИ — это тревожный звонок для всей индустрии. Традиционные системы безопасности, ориентированные на облачные угрозы, не готовы к атакам, которые полностью изолированы от сети. Криптокомпаниям необходимо пересмотреть свои стратегии защиты, уделяя особое внимание поведенческому анализу и проверке контрагентов на уровне человеческого фактора. Иск Bybit против КНДР — лишь вершина айсберга, и мы увидим новые иски по мере раскрытия масштабов этой угрозы.