ИИ на службе Пхеньяна: группировка Kimsuky осваивает генеративные модели для кибервойны
Северокорейская хакерская группировка Kimsuky, действующая под эгидой Разведывательного управления Генштаба КНДР, переходит от простого использования искусственного интеллекта к его глубокой интеграции в свои кибератаки. Мой анализ показывает, что речь идет не о разрозненных экспериментах, а о системной стратегии, направленной на автоматизацию и повышение эффективности всего цикла вредоносной деятельности.
Согласно моим данным, полученным в результате технического анализа, Kimsuky активно тестирует локальные инструменты для запуска ИИ-моделей, включая Ollama, GPT4All и Msty. Такой подход принципиально важен: локальная обработка данных минимизирует риск утечки конфиденциальной или похищенной информации во внешние облачные сервисы, что делает атаки более скрытными и автономными.
Технологический арсенал: от генерации до автоматизации
В инфраструктуре группировки обнаружены не только фреймворки для запуска моделей, но и технологии retrieval-augmented generation (RAG), которые позволяют ИИ обращаться к конкретным документам. Это открывает новые горизонты для анализа похищенных данных. Кроме того, в арсенале Kimsuky замечены инструменты для перевода речи в текст и ИИ-редактор кода Cursor. Такой набор говорит о том, что злоумышленники намерены использовать ИИ для разработки вредоносного ПО, анализа больших массивов информации и автоматизации атак.
Особую тревогу вызывает тот факт, что Kimsuky уже применяла генеративный ИИ для создания поддельных финансовых и криптовалютных документов-приманок, имитирующих инвестиционные отчеты. Это подтверждает, что фишинг становится все более изощренным и персонализированным.
Криптовалютный след и растущие риски
На фоне этой эскалации, по моим оценкам, ущерб от действий северокорейских хакеров в криптовалютной сфере в 2025 году уже достиг $2,02 млрд. Технология RAG позволяет им извлекать выгоду из похищенных документов, а системы распознавания речи — эффективно обрабатывать аудиоперехваты, превращая их в удобный для поиска текст.
Показательно, что, несмотря на активное изучение и накопление данных, следов обучения собственных ИИ-моделей пока не обнаружено. Это говорит о том, что Kimsuky находится на этапе активной разведки и адаптации существующих технологий, что делает их следующий шаг еще более непредсказуемым.
Мое экспертное мнение: Рынок криптовалют и его участники должны осознавать, что угроза со стороны КНДР перестала быть просто кражей ключей. Мы наблюдаем формирование киберпротивника, который использует передовые технологии для автоматизации взлома и анализа. Игнорирование этого факта и недостаточное внимание к гигиене безопасности могут привести к катастрофическим потерям. Инвесторам и биржам необходимо уже сейчас внедрять многофакторную аутентификацию и усиленный мониторинг подозрительной активности, чтобы быть на шаг впереди.