Kimsuky testuje lokalne AI do wspomagania cyberataków

Południowokoreańska firma Genians ustaliła, że grupa hakerska Kimsuky z Korei Północnej zainstalowała i konfigurowała oprogramowanie do uruchamiania lokalnych modeli sztucznej inteligencji. Narzędzia były testowane w środowisku kontrolowanym przez grupę w celu sprawdzenia ich użyteczności w operacjach ofensywnych.

Badacze wykryli użycie rozwiązań takich jak Ollama, GPT4All i Msty oraz frameworków agentów AI. Na powiązanej infrastrukturze znaleziono też narzędzia zamieniające mowę na tekst i Cursor, wsparcie dla pracy z kodem. Genians wskazuje, że lokalne przetwarzanie modelami zmniejsza ryzyko przesyłania skradzionych danych do zewnętrznych usług.

Raport opisuje zastosowania praktyczne: Kimsuky generowała dokumenty finansowe i związane z kryptowalutami przypominające raporty inwestycyjne, które mogły służyć do kampanii socjotechnicznych wobec osób związanych z rynkiem kryptowalut. Mechanizmy typu retrieval-augmented generation (RAG) umożliwiają modelom pobieranie informacji z wybranych plików, a narzędzia do konwersji mowy na tekst ułatwiają analizę przechwyconych nagrań.

Genians odnotował, że frameworki agentów i automatyzacja mogą przyspieszyć proces tworzenia i testowania złośliwego oprogramowania. W raporcie podkreślono: „Na podstawie tych ustaleń oceniamy, że grupa hakerska Kimsuky stale bada sposoby aktywnego włączania technologii AI do realnych działań ofensywnych, w tym rozwoju złośliwego oprogramowania oraz udoskonalania technik ataku, zamiast ograniczać się do samych eksperymentów.”

Badacze nie znaleźli dowodów na to, że Kimsuky trenowała własne modele AI; zamiast tego grupa adaptowała i integrowała dostępne rozwiązania. Genians wskazał, że stosowanie lokalnych modeli może ułatwić wydobycie użytecznych informacji z przejętych danych oraz zmniejszyć zależność od usług chmurowych.

Kimsuky jest powiązana z jednostką wywiadowczą Korei Północnej znaną jako Biuro Rozpoznania; Departament Skarbu USA objął grupę sankcjami w 2023 roku. Dla kontekstu branżowe szacunki wskazują, że w 2025 roku grupy powiązane z Koreą Północną mogły ukraść kryptowaluty o łącznej wartości około 2,02 mld USD.