Kimsuky налаштовувала локальні ШІ-середовища, шукаючи способи привнести штучний інтелект у свої операції з кібератак. Установлено, що пов'язаний із Північною Кореєю зловмисник, який часто націлювався на криптовалютний та фінансовий сектори, створив локальні середовища LLM з використанням Ollama, GPT4All та Msty.
За словами Genians, локальний підхід запобігає передачі даних листування до зовнішніх ШІ-сервісів, тим самим знижуючи ризик зовнішнього витоку.
ШІ додано до арсеналу криптоатак
Згідно зі звітом, ця активність показала, що група вибудовувала можливості з інтеграції штучного інтелекту у свої атаки. У GPT4All слідчі виявили базу даних, пов'язану з його функцією LocalDocs. Компанія з кібербезпеки повідомила, що докази вказують на те, що зловмисник, можливо, намагався підключити наявні в нього документи до ШІ-системи й використати їх як джерело знань.
Група також збирала бібліотеки та фреймворки, здатні інтегрувати штучний інтелект у ПЗ. Серед них LLaMaSharp, Microsoft Semantic Kernel та Microsoft Agents AI. Ці компоненти охоплювали локальне виконання ШІ, видобування документів, автоматизованих агентів та інтеграцію із зовнішніми ШІ-сервісами.
Розслідування також виявило файли, пов'язані з Whisper та faster-whisper — інструментами перетворення мовлення в текст. За словами Genians, такі інструменти могли б бути використані на зло для обробки та аналізу матеріалу, украденого чи зібраного зі скомпрометованих систем.
Компанія далі додала:
«Це дає конкретний доказ того, що пов'язаний із Kimsuky зловмисник виходить за межі разового експериментування з ШІ й безперервно готується інтегрувати технологію в реальні атакувальні можливості, включно з розробкою шкідливого ПЗ, аналізом даних та вдосконаленням технік атак».
Північна Корея, хакери та криптоіндустрія
Якщо подивитися ширше, пов'язані з Північною Кореєю атакувальники несли відповідальність за понад половину криптовалюти, украденої в першій половині 2026 року, згідно з недавніми висновками Blockaid. Компанія повідомила, що пов'язані з КНДР атакувальники викрали близько $609 млн за цей період, що становить приблизно 55% від $1,1 млрд, втрачених у 212 інцидентах.
Атаки на KelpDAO та Drift Protocol були пов'язані з TraderTraitor — підтримуваною державою північнокорейською групою, що асоціюється з Lazarus. На ці дві атаки припала більша частина втрат, пов'язаних із КНДР. Humanity Protocol також втратив $32 млн в атаці, прив'язаній до тієї самої групи. Ці висновки підкреслюють тривалу роль Північної Кореї в деяких найбільших криптокрадіжках 2026 року.
Ці оперативники також шукали доступ зсередини галузі. Відомий блокчейн-дослідник ZachXBT раніше повідомляв, що північнокорейські IT-працівники згенерували понад $3,5 млн у крипті через підроблені особистості розробників та скоординовану платіжну систему. Операція спливла після того, як хакер скомпрометував пристрій одного з працівників і розкрив записи, прив'язані майже до 390 акаунтів.
Витеклі дані показали, що операція приносила близько $1 млн на місяць. Працівники використовували підроблені особистості та підроблені документи, щоб отримувати роботу на різних проєктах. Їхні платежі відстежувалися через внутрішню платформу, де працівники повідомляли про свій дохід, а адміністратори керували переказами. Записи зі скомпрометованого пристрою також показали використання VPN та безлічі сфабрикованих персон. Логи чатів розкрили, що десятки працівників були активні в одній і тій самій системі.
Джерело: CryptoPotato
