Северокорейские хакеры подключили локальный ИИ к атакам на криптокомпании

Связанная с КНДР хакерская группировка Kimsuky использует локальные ИИ-системы, чтобы атаковать криптовалютные и финансовые компании. Об этом заявили южнокорейские аналитики кибербезопасности Genians.

Исследователи обнаружили у Kimsuky локальные LLM-среды на базе Ollama, GPT4All и Msty. Такие инструменты работают офлайн и поддерживают метод Retrieval-Augmented Generation — запросы можно делать без отправки данных в облачные сервисы.

В инфраструктуре группы исследователи также нашли библиотеки и фреймворки для встраивания языковых моделей в собственное ПО, ИИ-ассистент для программирования Cursor и инструменты распознавания речи. 

В Genians связали эту активность с интеграцией открытых LLM в разработку вредоносных программ, анализ данных и автоматизацию атак.

По оценке компании, Kimsuky уже не «пробует ИИ», а готовит его встраивание в реальные атакующие инструменты. В приоритете использование готовых технологий, а не обучение собственных моделей.

Отдельно в Genians отметили, что группа продолжает применять генеративный ИИ для создания фишинговых документов о цифровых активах, инвестиционных стратегиях и финтех-сервисах. Часть материалов имитировала документы корейской ИИ-платформы для инвестиций и отличалась естественным языком и профессиональным оформлением.

Напомним, в августе криптобиржа Bybit подала гражданский иск против КНДР и Lazarus Group.