Ang North Korea-linked hacking group na Kimsuky ay nakabuo ng tatlong lokal na AI environment bilang bahagi ng paghahanda para sa mga cyberattack na target ang cryptocurrency at mga kumpanya ng pinansyal, ayon sa bagong pananaliksik sa cybersecurity.

Sinabi ng Genians, isang South Korean cybersecurity firm, sa isang ulat na inilabas noong Lunes na natagpuan nito ang ebidensya ng Kimsuky na nagpapatakbo ng mga lokal na large language model environment sa pamamagitan ng Ollama, GPT4All at Msty, na nagbibigay sa grupo ng access sa mga tool ng AI na maaaring tumakbo nang hindi umaasa sa mga external cloud service.

Ang Kimsuky ay nakabuo ng mga lokal na AI system para sa mga cyberattack

Ang pagpapatakbo ng mga modelo nang lokal ay nagbibigay-daan sa mga operator na gumawa ng mga query nang hindi nagpapadala ng potensyal na sensitibong impormasyon sa pag-atake sa mga third-party na AI provider. Ayon sa pananaliksik, sinusuportahan din ng mga environment ang retrieval-augmented generation, na maaaring kumonekta sa isang AI model na may karagdagang impormasyon na ibinigay ng operator nito.

Kasama ng tatlong environment, natuklasan ng mga mananaliksik ang mga library at framework na maaaring mag-embed ng mga language model sa custom software. Nakolekta rin ng Kimsuky ang AI coding assistant na Cursor at mga speech-to-text tool habang binubuo nito ang imprastraktura ng AI nito.

Sa halip na bumuo ng mga bagong modelo ng AI, ang aktibidad na sinuri ng Genians ay nakatuon sa paggamit ng umiiral na open-source technology sa pagbuo ng malware, pagsusuri ng datos at awtomasyon ng pag-atake.

Tinasa ng firm na ang aktibidad ay lumampas na sa mga isolated test dahil patuloy na naghahanda ang Kimsuky na isama ang AI sa mga operational attack capability. Gayunpaman, ang mga natuklasan nito ay hindi nagpakita na ang grupo ay bumubuo ng mga proprietary AI model mula sa simula.

Ang pagpapanatili ng mga modelo sa lokal na imprastraktura ay maaaring magbigay-daan din sa mga hacker na magtrabaho sa impormasyon nang hindi isusumite ito sa mga external cloud system, ayon sa ulat. Ang koleksyon ng sumusuportang software ay nagpapahiwatig na ang mga AI environment ay bahagi ng isang mas malaking teknikal na setup sa halip na gumana lamang bilang standalone chat tool.

Ang mga AI-generated na phishing document ay target ang mga crypto firm

Patuloy din ang paggamit ng Kimsuky ng generative AI para maghanda ng materyal sa phishing na nakatuon sa cryptocurrency, mga estratehiya sa pamumuhunan at mga serbisyo ng fintech, ayon sa Genians.

Natukoy ng mga mananaliksik ang mga pinakinis na dokumento na malapit na kumopya ng materyal na nauugnay sa isang Korean AI-powered investment platform. Ginamit ng mga file ang natural na wika, pare-parehong formatting at propesyonal na disenyo na iniugnay ng cybersecurity firm sa AI-generated na nilalaman.

Ang ganitong materyal ay nagbibigay ng isa pang gamit para sa imprastraktura ng AI ng grupo bukod sa coding at pagproseso ng datos. Sa halip na umasa lamang sa hindi maayos na nakasulat na phishing email, maaaring gamitin ng mga operator ang mga generative tool para maghanda ng mga dokumento na idinisenyo sa mga paksang pinansyal na nauugnay sa kanilang mga nilalayong target.

Ang mga natuklasan ay nagdaragdag sa Kimsuky sa isang serye ng mga operasyong konektado sa North Korea na gumagamit ng mas bagong teknikal at social-engineering method laban sa industriya ng cryptocurrency.

Noong Hulyo, iniulat ng cybersecurity firm na JUMPSEC na ang BlueNoroff, isa pang grupong konektado sa North Korea, ay nagpapatakbo ng mga pekeng Zoom at Microsoft Teams meeting na nag-profile ng mga gumagamit ng cryptocurrency bago maghatid ng malware.

Na-recover ng JUMPSEC ang source code mula sa isang aktibong phishing kit matapos aksidenteng ilantad ng mga operator nito ang JavaScript source map. Naglalaman ang code ng mga function sa pag-scan ng wallet, mga kontrol ng operator, at hiwalay na ruta ng paghahatid ng malware para sa Windows at macOS.

Kapag pumasok ang isang target sa isang pekeng meeting page, sinusuri ng system ang mga koneksyon sa Ethereum wallet at mga non-EVM wallet, kabilang ang mga tool ng Solana, bago ipadala ang mga resulta sa isang operator panel. Maaari ring tukuyin ng mga Windows implant ang mga browser extension sa Chrome, Edge, Brave, Opera, Vivaldi at Firefox variant, na nagpapahintulot sa mga operator na suriin ang mga wallet tulad ng MetaMask.

Maaari nang magpasya ang mga attacker kung ipagpapatuloy ang intrusion batay sa impormasyong nakalap mula sa target, ayon sa natuklasan ng JUMPSEC.

Ang mga North Korean hacker ay pinagsasama ang AI sa social engineering

Lumabas din ang AI sa operasyon ng pekeng meeting ng BlueNoroff, bagaman sa ibang papel mula sa mga lokal na modelo na natukoy sa pananaliksik ng Kimsuky.

Ayon sa JUMPSEC, pinagsama ng mga operator ang mga AI-generated na headshot sa mga paggalaw ng katawan na kinuha mula sa mga nakaraang meeting upang lumikha ng mga nakakakumbinsing kalahok para sa mga pekeng video call. Maaaring dumating ang mga biktima sa pamamagitan ng isang Telegram account na pag-aari ng isang tunay na contact na ang account ay nakompromiso na, bago makatanggap ng imbitasyon sa Calendly na nagre-redirect sa kanila sa isang pekeng domain ng meeting.

Sa panahon ng tawag, maaaring magpakita ang isang operator ng isang inihandang video, magpadala ng mga mensahe tungkol sa isang diumano'y problema sa mikropono, at mag-trigger ng isang pekeng Zoom software update. Sa Windows, ginamit ng nagreresultang proseso ng ClickFix ang PowerShell at VBScript, habang ang ruta ng macOS ay naghatid ng isang pekeng installer ng meeting kasama ng malware na nagnanakaw ng impormasyon.

Nauna nang natukoy ng Arctic Wolf ang higit sa 80 lookalike na Zoom at Teams domain na nauugnay sa mga kaugnay na operasyon. Humigit-kumulang 80% ng mga target na natukoy nito ay nagtrabaho sa crypto, blockchain finance o konektadong sektor ng pamumuhunan, habang ang mga founder at chief executive ay kumakatawan sa 45% ng mga natukoy na target.

Ang mga operasyon ng North Korea ay naghangad din ng access mula sa loob ng mga kumpanya ng crypto sa halip na umasa lamang sa phishing o malware.

Noong Hulyo, pansamantalang itinigil ng Consensys ang pagpapalabas ng produkto matapos matuklasan na ang isang consultant na konektado sa North Korea ay nakakuha ng access sa mga system nito sa loob ng humigit-kumulang isang buwan, ayon sa Drop Site News.

Ang consultant, na nagpatakbo sa ilalim ng pangalan na Tyler Knapp at ginamit ang GitHub handle na "imyugioh," ay nag-ambag sa core MetaMask platform code, kabilang ang mga component na nagkokonekta sa mga gumagamit ng cryptocurrency sa mga third-party na fiat payment provider.

Sinabi ni Matt Corva, general counsel ng Consensys, na isang third-party service provider ang nagpakilala sa consultant sa kumpanya. Tinapos ng kumpanya ang kanyang access matapos matukoy ang banta at sinabi na walang nakitang ninakaw na asset o datos, malisyosong code o epekto sa seguridad ng user ang kanilang imbestigasyon.

Hiwalay na pananaliksik mula sa Ketman Project ang nakatukoy ng humigit-kumulang 100 pinaghihinalaang North Korean IT worker na nagpapatakbo sa ilalim ng maling pagkakakilanlan sa 53 crypto at Web3 project. Sinubaybayan din ng mga imbestigador ang mga pinaghihinalaang grupo sa 11 code repository kung saan ang mga proyekto ay nagsama na ng 62 pull request bago natukoy ang aktibidad.

Nagnakaw ang North Korea ng higit sa $2 bilyon sa crypto noong 2025

Ang pagbuo ng imprastraktura ng pag-atake na tinulungan ng AI ay dumating matapos magnakaw ang mga North Korean hacking group ng tinatayang $2.02 bilyon sa cryptocurrency noong 2025, ayon sa data ng Chainalysis na naunang iniulat ng crypto.news.

Karamihan sa mga pagkalugi ng taon ay nagmula sa pag-atake noong Pebrero 2025 laban sa Bybit, kung saan higit sa 400,000 Ether at staked Ether na nagkakahalaga ng humigit-kumulang $1.5 bilyon ang ninakaw. Iniugnay ng FBI ang breach sa North Korea at natukoy ang mga responsable sa ilalim ng pagtatalaga nito na TraderTraitor.

Simula noon, dinala na ng Bybit ang alitan sa isang U.S. federal court. Noong Agosto 8, idinemanda ng exchange ang Democratic People’s Republic of Korea, ang ahensya ng intelligence nito na Reconnaissance General Bureau at ang Lazarus Group sa U.S. District Court para sa Distrito ng Columbia.

Nakakuha din ang exchange ng isang preliminary injunction na sumasaklaw sa ilang ninakaw na asset na hawak ng mga hindi kilalang defendant. Pinipigilan ng order ang paglilipat, pagbebenta o pagtatapon ng mga natukoy na asset habang nagpapatuloy ang sibil na kaso, bagaman hindi ito bumubuo ng isang pinal na desisyon sa pagmamay-ari o pananagutan.

Lalong naging mahirap ang blockchain tracing matapos ang pagnanakaw sa Bybit habang kino-convert ng mga attacker ang mga asset sa Bitcoin at ikinakalat ang mga pondo sa libu-libong wallet. Pagsapit ng Abril 2025, sinabi ni Ben Zhou, CEO ng Bybit, na 27.6% ng mga ninakaw na pondo ay hindi na masubaybayan.

Nagbabala rin ang mga mananaliksik na maaaring bawasan ng AI ang oras na kailangan ng mga attacker upang matukoy ang mga kahinaan sa software. Sinabi ni Illia Polosukhin, co-founder ng NEAR Protocol, na pinapataas ng AI ang kakayahan ng mga hacker na makahanap ng mga vulnerability nang mas mabilis kaysa sa magagawa ng conventional security process na ayusin ang mga ito.

Ang $100 milyong Coldcard Bitcoin hardware wallet exploit ay pinaghihinalaang nagmula sa isang malabo na vulnerability na natuklasan gamit ang AI. Hiwalay, patuloy na ginagamit ng mga North Korean operator ang phishing, mga pekeng remote worker at nakompromisong online na pagkakakilanlan, habang ang pinakabagong pananaliksik ng Genians ay nagpapakita na inihahanda ng Kimsuky ang mga lokal na modelo ng AI para sa pagbuo ng malware, pagsusuri ng datos at awtomasyon ng pag-atake.