Le groupe de hackers Kimsuky, lié à la Corée du Nord, a mis en place trois environnements d'IA locaux dans le cadre de ses préparatifs de cyberattaques ciblant les entreprises de cryptomonnaies et financières, selon une nouvelle recherche en cybersécurité.
Genians, une entreprise sud-coréenne de cybersécurité, a déclaré dans un rapport publié lundi qu'elle avait trouvé des preuves que Kimsuky exploitait des environnements de modèles de langage étendus locaux via Ollama, GPT4All et Msty, donnant au groupe accès à des outils d'IA pouvant fonctionner sans dépendre de services cloud externes.
L'exécution de modèles localement permet aux opérateurs d'effectuer des requêtes sans envoyer d'informations d'attaque potentiellement sensibles à des fournisseurs d'IA tiers. Selon la recherche, ces environnements prennent également en charge la génération augmentée de récupération (retrieval-augmented generation), qui peut connecter un modèle d'IA à des informations supplémentaires fournies par son opérateur.
Outre ces trois environnements, les chercheurs ont découvert des bibliothèques et des frameworks capables d'intégrer des modèles de langage dans des logiciels personnalisés. Kimsuky avait également collecté l'assistant de codage IA Cursor et des outils de conversion parole-texte lors de l'assemblage de son infrastructure d'IA.
Plutôt que de développer de nouveaux modèles d'IA, l'activité examinée par Genians s'est concentrée sur l'utilisation de technologies open-source existantes pour le développement de logiciels malveillants, l'analyse de données et l'automatisation des attaques.
L'entreprise a estimé que l'activité avait dépassé les tests isolés car Kimsuky se préparait continuellement à intégrer l'IA dans ses capacités d'attaque opérationnelles. Cependant, ses découvertes n'ont pas montré que le groupe développait des modèles d'IA propriétaires à partir de zéro.
Le maintien des modèles sur une infrastructure locale pourrait également permettre aux pirates de travailler avec des informations sans les soumettre à des systèmes cloud externes, selon le rapport. La collection de logiciels de support indique que les environnements d'IA font partie d'une configuration technique plus vaste plutôt que de fonctionner uniquement comme des outils de chat autonomes.
Kimsuky a également continué à utiliser l'IA générative pour préparer du matériel de phishing axé sur la cryptomonnaie, les stratégies d'investissement et les services fintech, selon Genians.
Les chercheurs ont identifié des documents soignés qui copiaient fidèlement le matériel associé à une plateforme d'investissement coréenne basée sur l'IA. Les fichiers utilisaient un langage naturel, une mise en forme cohérente et des éléments de design professionnels que la société de cybersécurité a associés à du contenu généré par l'IA.
Un tel matériel offre une autre utilisation de l'infrastructure d'IA du groupe au-delà du codage et du traitement des données. Au lieu de s'appuyer uniquement sur des e-mails de phishing mal écrits, les opérateurs peuvent utiliser des outils génératifs pour préparer des documents conçus autour de sujets financiers pertinents pour leurs cibles prévues.
Ces découvertes ajoutent Kimsuky à une série d'opérations liées à la Corée du Nord utilisant des méthodes techniques et d'ingénierie sociale plus récentes contre l'industrie de la cryptomonnaie.
En juillet, la société de cybersécurité JUMPSEC a rapporté que BlueNoroff, un autre groupe lié à la Corée du Nord, organisait de fausses réunions Zoom et Microsoft Teams qui profilaient les utilisateurs de cryptomonnaies avant la livraison de logiciels malveillants.
JUMPSEC a récupéré le code source d'un kit de phishing actif après que ses opérateurs ont accidentellement exposé des cartes source JavaScript. Le code contenait des fonctions de balayage de portefeuille, des contrôles d'opérateur et des voies de livraison de logiciels malveillants distinctes pour Windows et macOS.
Une fois qu'une cible entrait sur une fausse page de réunion, le système vérifiait les connexions aux portefeuilles Ethereum et aux portefeuilles non-EVM, y compris les outils Solana, avant d'envoyer les résultats à un panneau d'opérateur. Les implants Windows pouvaient également identifier les extensions de navigateur sur Chrome, Edge, Brave, Opera, Vivaldi et les variantes de Firefox, permettant aux opérateurs de vérifier la présence de portefeuilles tels que MetaMask.
Les attaquants pouvaient ensuite décider de poursuivre l'intrusion en fonction des informations recueillies auprès de la cible, a constaté JUMPSEC.
L'IA est également apparue dans l'opération de fausse réunion de BlueNoroff, bien que dans un rôle différent des modèles locaux identifiés dans la recherche de Kimsuky.
Selon JUMPSEC, les opérateurs ont combiné des photos de tête générées par l'IA avec des mouvements corporels tirés de réunions précédentes pour créer des participants convaincants pour de faux appels vidéo. Les victimes pouvaient arriver via un compte Telegram appartenant à un contact réel dont le compte avait déjà été compromis, avant de recevoir une invitation Calendly qui les redirigeait vers un faux domaine de réunion.
Pendant l'appel, un opérateur pouvait afficher une vidéo préparée, envoyer des messages concernant un problème de microphone supposé et déclencher une fausse mise à jour logicielle de Zoom. Sur Windows, le processus ClickFix résultant utilisait PowerShell et VBScript, tandis que la voie macOS délivrait un faux installateur de réunion accompagné d'un logiciel malveillant de vol d'informations.
Arctic Wolf avait précédemment identifié plus de 80 domaines d'apparence similaire à Zoom et Teams associés à des opérations connexes. Environ 80 % des cibles identifiées travaillaient dans les secteurs de la cryptographie, de la finance blockchain ou des investissements connexes, tandis que les fondateurs et les PDG représentaient 45 % des cibles identifiées.
Les opérations nord-coréennes ont également cherché à obtenir un accès à l'intérieur des entreprises de cryptomonnaies plutôt que de se fier uniquement au phishing ou aux logiciels malveillants.
En juillet, Consensys a temporairement interrompu les lancements de produits après avoir découvert qu'un consultant lié à la Corée du Nord avait eu accès à ses systèmes pendant environ un mois, selon Drop Site News.
Le consultant, qui opérait sous le nom de Tyler Knapp et utilisait le pseudonyme GitHub "imyugioh", a contribué au code de base de la plateforme MetaMask, y compris aux composants connectant les utilisateurs de cryptomonnaies aux fournisseurs de paiements fiduciaires tiers.
Matt Corva, conseiller juridique de Consensys, a déclaré qu'un prestataire de services tiers avait présenté le consultant à l'entreprise. L'entreprise a mis fin à son accès après avoir identifié la menace et a déclaré que son enquête n'avait trouvé aucun actif ou donnée volé, aucun code malveillant ni aucun impact sur la sécurité des utilisateurs.
Une recherche distincte du Ketman Project a identifié environ 100 travailleurs informatiques nord-coréens présumés opérant sous de fausses identités sur 53 projets crypto et Web3. Les enquêteurs ont également retracé des groupes présumés à travers 11 dépôts de code où des projets avaient déjà fusionné 62 "pull requests" avant que l'activité ne soit détectée.
Le développement d'une infrastructure d'attaque assistée par l'IA intervient après que des groupes de hackers nord-coréens ont volé environ 2,02 milliards de dollars en cryptomonnaies en 2025, selon les données de Chainalysis précédemment rapportées par crypto.news.
La plupart des pertes de l'année proviennent de l'attaque de février 2025 contre Bybit, où plus de 400 000 Ether et Ether mis en jeu (staked Ether) d'une valeur d'environ 1,5 milliard de dollars ont été volés. Le FBI a attribué la violation à la Corée du Nord et a identifié les acteurs responsables sous sa désignation TraderTraitor.
Bybit a depuis porté le litige devant un tribunal fédéral américain. Le 8 août, l'exchange a poursuivi la République populaire démocratique de Corée, son agence de renseignement du Bureau général de reconnaissance et le groupe Lazarus devant le tribunal de district des États-Unis pour le district de Columbia.
L'exchange a également obtenu une injonction préliminaire couvrant certains actifs volés détenus par des défendeurs non identifiés. L'ordonnance interdit le transfert, la vente ou toute autre disposition des actifs identifiés pendant que l'affaire civile se poursuit, bien qu'elle ne constitue pas une décision finale sur la propriété ou la responsabilité.
Le traçage de la blockchain est devenu de plus en plus difficile après le vol de Bybit, car les attaquants ont converti les actifs en Bitcoin et dispersé les fonds sur des milliers de portefeuilles. En avril 2025, le PDG de Bybit, Ben Zhou, a déclaré que 27,6 % des fonds volés ne pouvaient plus être tracés.
Les chercheurs ont également averti que l'IA pourrait réduire le temps nécessaire aux attaquants pour identifier les faiblesses des logiciels. Illia Polosukhin, co-fondateur de NEAR Protocol, a déclaré que l'IA augmentait la capacité des hackers à localiser les vulnérabilités plus rapidement que les processus de sécurité conventionnels ne peuvent les corriger.
L'exploit du portefeuille matériel Bitcoin Coldcard de 100 millions de dollars est également soupçonné d'être issu d'une vulnérabilité obscure découverte avec l'IA. Séparément, les opérateurs nord-coréens continuent d'utiliser le phishing, de faux travailleurs à distance et des identités en ligne compromises, tandis que la dernière recherche de Genians montre que Kimsuky prépare des modèles d'IA locaux pour le développement de logiciels malveillants, l'analyse de données et l'automatisation des attaques.
