ИИ на службе Пхеньяна: группировка Kimsuky осваивает генеративные модели для кибервойны
Северокорейская хакерская группа Kimsuky, действующая под эгидой Разведывательного управления Генштаба КНДР, перешла от простого использования генеративного ИИ для фишинга к системному изучению и внедрению этой технологии в свои атакующие цепочки. Речь идет не о разрозненных экспериментах, а о формировании полноценного арсенала кибервооружений нового поколения.
Мой анализ инцидентов, зафиксированных в ходе последних кампаний, показывает, что Kimsuky активно тестирует локальные инструменты для запуска LLM-моделей, включая Ollama, GPT4All и Msty. Такой подход — не просто дань моде. Локальная обработка данных критически важна для конспирации: она позволяет злоумышленникам минимизировать риск утечки украденной информации во внешние ИИ-сервисы, которые могут контролироваться западными спецслужбами.
Технологический стек и новые возможности
На связанной с группой инфраструктуре обнаружены не только платформы для запуска моделей, но и технология RAG (Retrieval-Augmented Generation). Ее применение открывает перед хакерами пугающие перспективы: ИИ получает прямой доступ к базе похищенных документов, что позволяет автоматизировать поиск и систематизацию ценных данных из огромных массивов информации.
Кроме того, в арсенале Kimsuky замечены фреймворки для создания ИИ-агентов, программное обеспечение для перевода речи в текст (STT) и ИИ-редактор кода Cursor. Судя по всему, этот набор инструментов предназначен для решения трех ключевых задач: автоматизация написания вредоносного ПО, интеллектуальный анализ разведданных и частичная автоматизация самих атак.
Показательно, что группа уже использовала ИИ для генерации поддельных финансовых и криптовалютных документов-приманок, имитирующих инвестиционные отчеты. Это подтверждает: северокорейские хакеры, которые в 2025 году, по отраслевым оценкам, похитили более $2,02 млрд в криптовалюте, нацелены на автоматизацию и повышение эффективности своих операций.
Пока исследователи не нашли следов обучения собственных ИИ-моделей, что указывает на фазу накопления данных и изучения технологии. Однако два ключевых риска уже очевидны: RAG позволяет извлекать данные из украденных документов, а STT-системы превращают перехваченные аудиозаписи в удобный для поиска текст.
Мой вердикт: мы наблюдаем не просто очередной апгрейд тактики, а фундаментальный сдвиг в операционных возможностях одной из самых опасных APT-групп в мире. Индустрии кибербезопасности, и особенно криптобиржам, стоит готовиться к атакам, где социальная инженерия и анализ данных будут доведены до совершенства с помощью ИИ.