नए साइबर सुरक्षा शोध के अनुसार, उत्तर कोरिया से जुड़े हैकिंग समूह किमसुकी (Kimsuky) ने क्रिप्टोकरेंसी और वित्तीय कंपनियों को लक्षित करने वाले साइबर हमलों की तैयारियों के तहत तीन स्थानीय AI वातावरण बनाए हैं।

दक्षिण कोरियाई साइबर सुरक्षा फर्म जेनियंस (Genians) ने सोमवार को जारी एक रिपोर्ट में कहा कि उसने किमसुकी द्वारा ओलामा, GPT4All और Msty के माध्यम से स्थानीय बड़े भाषा मॉडल (LLM) वातावरण संचालित करने के प्रमाण पाए, जिससे समूह को ऐसे AI उपकरणों तक पहुँच मिल गई है जो बाहरी क्लाउड सेवाओं पर निर्भर हुए बिना चल सकते हैं।

किमसुकी ने साइबर हमलों के लिए स्थानीय AI सिस्टम बनाए हैं

मॉडल को स्थानीय रूप से चलाने से ऑपरेटर संभावित रूप से संवेदनशील हमले की जानकारी तीसरे पक्ष के AI प्रदाताओं को भेजे बिना प्रश्न कर सकते हैं। शोध के अनुसार, ये वातावरण रिट्रीवल-ऑगमेंटेड जनरेशन (retrieval-augmented generation) का भी समर्थन करते हैं, जो AI मॉडल को उसके ऑपरेटर द्वारा प्रदान की गई अतिरिक्त जानकारी से जोड़ सकता है।

तीनों वातावरणों के साथ, शोधकर्ताओं ने ऐसी लाइब्रेरी और फ्रेमवर्क पाए जो कस्टम सॉफ़्टवेयर में भाषा मॉडल को एम्बेड कर सकते हैं। किमसुकी ने AI कोडिंग असिस्टेंट कर्सर (Cursor) और स्पीच-टू-टेक्स्ट (speech-to-text) टूल भी एकत्र किए थे जब वह अपना AI इंफ्रास्ट्रक्चर बना रहा था।

नए AI मॉडल विकसित करने के बजाय, जेनियंस द्वारा जाँची गई गतिविधि मौजूदा ओपन-सोर्स तकनीक को मैलवेयर विकास, डेटा विश्लेषण और हमले के स्वचालन में लगाने पर केंद्रित थी।

फर्म ने आकलन किया कि यह गतिविधि अलग-थलग परीक्षणों से आगे बढ़ गई थी क्योंकि किमसुकी लगातार AI को परिचालन हमले क्षमताओं में शामिल करने की तैयारी कर रहा था। हालांकि, उसके निष्कर्षों से यह पता नहीं चला कि समूह खरोंच से मालिकाना AI मॉडल विकसित कर रहा था।

रिपोर्ट के अनुसार, मॉडल को स्थानीय इंफ्रास्ट्रक्चर पर रखने से हैकर्स को बाहरी क्लाउड सिस्टम में जानकारी सबमिट किए बिना भी काम करने की सुविधा मिल सकती है। सहायक सॉफ़्टवेयर का संग्रह यह इंगित करता है कि AI वातावरण केवल स्टैंडअलोन चैट टूल के रूप में कार्य करने के बजाय एक बड़े तकनीकी सेटअप का हिस्सा हैं।

AI-जनित फ़िशिंग दस्तावेज़ क्रिप्टो फर्मों को लक्षित करते हैं

जेनियंस के अनुसार, किमसुकी ने क्रिप्टोकरेंसी, निवेश रणनीतियों और फिनटेक सेवाओं पर केंद्रित फ़िशिंग सामग्री तैयार करने के लिए जनरेटिव AI का उपयोग जारी रखा है।

शोधकर्ताओं ने पॉलिश किए गए दस्तावेज़ों की पहचान की जो एक कोरियाई AI-संचालित निवेश प्लेटफॉर्म से संबंधित सामग्री की बारीकी से नकल करते थे। इन फ़ाइलों में प्राकृतिक भाषा, सुसंगत फ़ॉर्मेटिंग और पेशेवर डिज़ाइन तत्व थे जिन्हें साइबर सुरक्षा फर्म ने AI-जनित सामग्री से जोड़ा था।

ऐसी सामग्री समूह के AI इंफ्रास्ट्रक्चर के लिए कोडिंग और डेटा प्रोसेसिंग से परे एक और उपयोग प्रदान करती है। केवल खराब लिखे गए फ़िशिंग ईमेल पर निर्भर रहने के बजाय, ऑपरेटर जनरेटिव टूल का उपयोग वित्तीय विषयों के आसपास डिज़ाइन किए गए दस्तावेज़ तैयार करने के लिए कर सकते हैं जो उनके लक्षित पीड़ितों के लिए प्रासंगिक हों।

यह निष्कर्ष किमसुकी को उत्तर कोरिया से जुड़े ऑपरेशनों की एक श्रृंखला में जोड़ता है जो क्रिप्टोकरेंसी उद्योग के खिलाफ नई तकनीकी और सामाजिक-इंजीनियरिंग विधियों का उपयोग कर रहे हैं।

जुलाई में, साइबर सुरक्षा फर्म जंपसेक (JUMPSEC) ने बताया कि ब्लू नोरोफ (BlueNoroff), एक और उत्तर कोरिया से जुड़ा समूह, नकली ज़ूम और माइक्रोसॉफ्ट टीम्स मीटिंग चला रहा था जो मैलवेयर वितरित करने से पहले क्रिप्टोकरेंसी उपयोगकर्ताओं की प्रोफाइलिंग करता था।

जंपसेक ने एक सक्रिय फ़िशिंग किट से स्रोत कोड बरामद किया जब उसके ऑपरेटरों ने गलती से जावास्क्रिप्ट स्रोत मैप (JavaScript source maps) को उजागर कर दिया। कोड में वॉलेट-स्कैनिंग फ़ंक्शन, ऑपरेटर नियंत्रण और विंडोज व मैकओएस के लिए अलग-अलग मैलवेयर डिलीवरी मार्ग शामिल थे।

एक बार जब कोई लक्ष्य नकली मीटिंग पेज में प्रवेश करता था, तो सिस्टम एथेरियम वॉलेट कनेक्शन और सोलाना टूल सहित गैर-ईवीएम (non-EVM) वॉलेट की जाँच करता था, फिर परिणाम एक ऑपरेटर पैनल को भेजता था। विंडोज इम्प्लांट्स क्रोम, एज, ब्रेव, ओपेरा, विवाल्डी और फ़ायरफ़ॉक्स वेरिएंट में ब्राउज़र एक्सटेंशन की भी पहचान कर सकते थे, जिससे ऑपरेटर मेटामास्क (MetaMask) जैसे वॉलेट की जाँच कर सकते थे।

जंपसेक ने पाया कि हमलावर तब लक्ष्य से एकत्रित जानकारी के आधार पर घुसपैठ जारी रखने का निर्णय ले सकते थे।

उत्तर कोरियाई हैकर AI को सोशल इंजीनियरिंग के साथ मिला रहे हैं

ब्लू नोरोफ के नकली मीटिंग ऑपरेशन के भीतर AI भी दिखाई दिया, हालांकि किमसुकी के शोध में पहचाने गए स्थानीय मॉडल से उसकी भूमिका अलग थी।

जंपसेक के अनुसार, ऑपरेटरों ने नकली वीडियो कॉल के लिए विश्वसनीय प्रतिभागियों को बनाने के लिए AI-जनित हेडशॉट्स को पिछली मीटिंग्स से लिए गए शरीर की हरकतों के साथ जोड़ा। पीड़ित एक वास्तविक संपर्क के टेलीग्राम खाते के माध्यम से आ सकते थे जिसका खाता पहले ही हैक हो चुका था, फिर उन्हें एक कैलेंडली (Calendly) आमंत्रण प्राप्त होता था जो उन्हें एक नकली मीटिंग डोमेन पर पुनर्निर्देशित करता था।

कॉल के दौरान, एक ऑपरेटर एक तैयार वीडियो दिखा सकता था, कथित माइक्रोफ़ोन समस्या के बारे में संदेश भेज सकता था और एक नकली ज़ूम सॉफ़्टवेयर अपडेट ट्रिगर कर सकता था। विंडोज पर, परिणामी क्लिकफ़िक्स (ClickFix) प्रक्रिया ने पॉवरशेल (PowerShell) और वीबीस्क्रिप्ट (VBScript) का उपयोग किया, जबकि मैकओएस मार्ग ने सूचना-चोरी करने वाले मैलवेयर के साथ एक नकली मीटिंग इंस्टालर वितरित किया।

आर्कटिक वुल्फ (Arctic Wolf) ने पहले संबंधित ऑपरेशनों से जुड़े 80 से अधिक लुकअलाइक ज़ूम और टीम्स डोमेन की पहचान की थी। उसके द्वारा पहचाने गए लक्ष्यों में से लगभग 80% क्रिप्टो, ब्लॉकचेन वित्त या संबंधित निवेश क्षेत्रों में काम करते थे, जबकि संस्थापक और मुख्य कार्यकारी अधिकारियों ने पहचाने गए लक्ष्यों का 45% प्रतिनिधित्व किया।

उत्तर कोरियाई ऑपरेशनों ने केवल फ़िशिंग या मैलवेयर पर निर्भर रहने के बजाय क्रिप्टो कंपनियों के भीतर से भी पहुँच प्राप्त करने की कोशिश की है।

ड्रॉप साइट न्यूज़ (Drop Site News) के अनुसार, जुलाई में, कॉन्सेनसीस (Consensys) ने लगभग एक महीने तक उत्तर कोरिया से जुड़े एक सलाहकार को अपने सिस्टम तक पहुँचने की अनुमति देने के बाद अस्थायी रूप से उत्पाद रिलीज़ रोक दिए थे।

सलाहकार, जो टायलर नैप (Tyler Knapp) नाम से काम करता था और गिटहब हैंडल "imyugioh" का उपयोग करता था, उसने कोर मेटामास्क प्लेटफॉर्म कोड में योगदान दिया, जिसमें क्रिप्टोकरेंसी उपयोगकर्ताओं को तीसरे पक्ष के फिएट भुगतान प्रदाताओं से जोड़ने वाले घटक शामिल थे।

कॉन्सेनसीस के जनरल काउंसल मैट कोर्वा (Matt Corva) ने कहा कि एक तीसरे पक्ष के सेवा प्रदाता ने सलाहकार को कंपनी से परिचित कराया था। कंपनी ने खतरे की पहचान करने के बाद उसकी पहुँच समाप्त कर दी और कहा कि उसकी जाँच में कोई चोरी हुई संपत्ति या डेटा, दुर्भावनापूर्ण कोड या उपयोगकर्ता सुरक्षा पर कोई प्रभाव नहीं पाया गया।

केटमैन प्रोजेक्ट (Ketman Project) के एक अलग शोध ने 53 क्रिप्टो और वेब3 परियोजनाओं में झूठी पहचान के तहत काम करने वाले लगभग 100 संदिग्ध उत्तर कोरियाई आईटी कर्मचारियों की पहचान की। जांचकर्ताओं ने 11 कोड रिपॉजिटरी में भी संदिग्ध समूहों का पता लगाया जहां गतिविधि का पता लगने से पहले परियोजनाओं ने पहले ही 62 पुल रिक्वेस्ट को मर्ज कर दिया था।

उत्तर कोरिया ने 2025 में $2 बिलियन से अधिक की क्रिप्टो चोरी की

AI-सहायता प्राप्त हमले के इंफ्रास्ट्रक्चर का विकास उत्तर कोरियाई हैकिंग समूहों द्वारा 2025 के दौरान अनुमानित $2.02 बिलियन की क्रिप्टोकरेंसी चोरी करने के बाद हुआ है, जैसा कि क्रिप्टो.न्यूज़ द्वारा पहले रिपोर्ट किए गए चेन एनालिसिस (Chainalysis) डेटा से पता चलता है।

वर्ष का अधिकांश नुकसान फरवरी 2025 में बायबिट (Bybit) के खिलाफ हुए हमले से हुआ, जहां लगभग $1.5 बिलियन मूल्य के 400,000 से अधिक एथर (Ether) और स्टेक्ड एथर (staked Ether) चोरी हो गए थे। एफबीआई (FBI) ने इस उल्लंघन का श्रेय उत्तर कोरिया को दिया और अपने ट्रेडरट्रेइटर (TraderTraitor) पदनाम के तहत जिम्मेदार अभिनेताओं की पहचान की।

बायबिट ने तब से इस विवाद को अमेरिकी संघीय अदालत में ले लिया है। 8 अगस्त को, एक्सचेंज ने कोलंबिया जिले के अमेरिकी जिला न्यायालय में डेमोक्रेटिक पीपल्स रिपब्लिक ऑफ कोरिया (Democratic People’s Republic of Korea), उसकी टोही जनरल ब्यूरो खुफिया एजेंसी (Reconnaissance General Bureau intelligence agency) और लाजरस ग्रुप (Lazarus Group) पर मुकदमा दायर किया।

एक्सचेंज ने अज्ञात प्रतिवादियों द्वारा रखी गई कुछ चोरी की संपत्तियों को कवर करने वाला एक प्रारंभिक निषेधाज्ञा भी प्राप्त किया। यह आदेश पहचान की गई संपत्तियों को हस्तांतरित, बेचा या अन्यथा निपटाने से रोकता है जबकि नागरिक मामला आगे बढ़ता है, हालांकि यह स्वामित्व या देयता पर अंतिम निर्णय नहीं है।

बायबिट चोरी के बाद ब्लॉकचेन ट्रेसिंग तेजी से मुश्किल हो गई क्योंकि हमलावरों ने संपत्तियों को बिटकॉइन में बदल दिया और हजारों वॉलेट में धन फैला दिया। अप्रैल 2025 तक, बायबिट के सीईओ बेन झोउ (Ben Zhou) ने कहा कि चोरी हुए धन का 27.6% अब ट्रैक नहीं किया जा सकता था।

शोधकर्ताओं ने यह भी चेतावनी दी है कि AI हमलावरों को सॉफ्टवेयर में कमजोरियों की पहचान करने में लगने वाले समय को कम कर सकता है। एनईएआर प्रोटोकॉल (NEAR Protocol) के सह-संस्थापक इलिया पोलोसुखिन (Illia Polosukhin) ने कहा है कि AI हैकरों की कमजोरियों का पता लगाने की क्षमता को पारंपरिक सुरक्षा प्रक्रियाओं की तुलना में तेजी से बढ़ा रहा है।

$100 मिलियन कोल्डकार्ड बिटकॉइन हार्डवेयर वॉलेट (Coldcard Bitcoin hardware wallet) एक्सप्लॉइट के बारे में भी AI के साथ खोजी गई एक अस्पष्ट भेद्यता से उत्पन्न होने का संदेह है। अलग से, उत्तर कोरियाई ऑपरेटर फ़िशिंग, नकली दूरस्थ कर्मचारियों और समझौता की गई ऑनलाइन पहचान का उपयोग करना जारी रखते हैं, जबकि नवीनतम जेनियंस शोध से पता चलता है कि किमसुकी मैलवेयर विकास, डेटा विश्लेषण और हमले के स्वचालन के लिए स्थानीय AI मॉडल तैयार कर रहा है।