Северокорейские хакеры Kimsuky осваивают ИИ: новая эра кибератак
Группировка Kimsuky, действующая под эгидой северокорейской разведки, перешла от простого использования генеративных нейросетей к систематическому внедрению ИИ в свои атакующие цепочки. Это уже не разрозненные эксперименты, а полноценная стратегия по модернизации кибероружия.
Мой анализ показывает, что Kimsuky активно тестирует локальные инструменты для запуска ИИ-моделей, включая Ollama, GPT4All и Msty. Такой подход не случаен: локальная обработка данных минимизирует риск утечки конфиденциальной информации во внешние облачные сервисы, что критически важно для группировки, работающей в условиях тотальной изоляции.
Технологический арсенал: от RAG до Cursor
В инфраструктуре злоумышленников обнаружены не только фреймворки для запуска моделей, но и более продвинутые решения. Речь идет о технологии retrieval-augmented generation (RAG), которая позволяет ИИ обращаться к конкретным документам, а также о системах распознавания речи для перевода аудиофайлов в текст. Дополнительно хакеры используют Cursor — редактор кода с ИИ-поддержкой, что указывает на автоматизацию разработки вредоносного ПО.
По моим оценкам, такой набор инструментов свидетельствует о стремлении Kimsuky встроить ИИ во все этапы атаки: от написания кода до анализа добытых данных. Это уже не просто фишинг с поддельными документами, созданными нейросетями, а комплексная автоматизация разведывательной деятельности.
Криптовалютный след и риски для индустрии
Особую тревогу вызывает активность группировки в криптовалютной сфере. Ранее Kimsuky использовала ИИ для создания поддельных финансовых документов-приманок, имитирующих инвестиционные отчеты. Эти файлы нацелены на директоров и инженеров криптокомпаний. По отраслевым данным, за 2025 год северокорейские группировки похитили $2,02 млрд в криптовалюте, и ИИ-инструменты лишь усиливают их возможности.
Ключевые риски, которые я вижу: технология RAG позволяет извлекать данные из украденных документов, а системы распознавания речи переводят перехваченные аудиозаписи в удобный для поиска текст. Это создает серьезную угрозу для конфиденциальности корпоративных переговоров.
Пока исследования показывают, что работа Kimsuky с ИИ находится на стадии накопления данных и изучения возможностей — следов обучения собственных моделей не обнаружено. Однако это лишь вопрос времени. Северокорейские хакеры методично готовят почву для полномасштабного использования ИИ в своих операциях, и индустрии кибербезопасности стоит готовиться к новой волне атак.
Мое экспертное мнение: внедрение локальных ИИ-инструментов — это стратегический шаг, который делает атаки Kimsuky менее предсказуемыми и более автономными. Криптобиржам и фондам следует пересмотреть свои протоколы безопасности, уделяя особое внимание проверке документов и аудиозаписей, которые могут быть сгенерированы искусственным интеллектом.