Kimsuky подключила локальные LLM к атакам на криптобизнес

Южнокорейская компания Genians выявила в инфраструктуре связанной с КНДР хакерской группы Kimsuky локальные среды для запуска языковых моделей на базе Ollama, GPT4All и Msty. Эти среды работают офлайн и поддерживают метод Retrieval‑Augmented Generation (RAG).

В инфраструктуре исследователи нашли библиотеки и фреймворки для встраивания LLM в пользовательское ПО, ИИ‑ассистент Cursor для помощи в программировании и инструменты распознавания речи. По данным Genians, эти компоненты используются для формирования запросов и автоматической генерации контента внутри закрытой среды.

Аналитики зафиксировали применение генеративного ИИ для создания фишинговых материалов. Злоумышленники генерировали подложные документы, которые маскируются под отчёты об инвестициях, материалы о цифровых активах и сервисы финтех‑компаний. Часть поддельных документов имитировала отчёты корейской инвестиционной платформы и отличалась естественным языком и профессиональным оформлением.

Использование локальных моделей с поддержкой RAG даёт возможность обращаться к локальным базам знаний и формировать ответы без пересылки данных в облачные сервисы. В отчёте Genians указано, что такой подход снижает сетевую видимость активности и затрудняет обнаружение трафика внешними системами мониторинга.

Найденные фреймворки и скрипты позволяют связывать LLM с эксплойтами и автоматическими сценариями атак: автоматической генерацией фишинговых писем, подготовкой вредоносных бинарников и массовой рассылкой. В отчёте отмечается, что группа предпочитает интеграцию готовых открытых LLM, а не обучение собственных моделей.

В августе криптовая биржа Bybit подала гражданский иск против КНДР и группировки Lazarus. Kimsuky ранее связывали с операциями по кибершпионажу и компрометации целевых организаций; найденные локальные LLM добавляют новые инструменты в технический набор группы.