Kelompok peretas Kimsuky, yang terkait dengan Korea Utara, telah membangun tiga lingkungan AI lokal sebagai bagian dari persiapan serangan siber yang menargetkan perusahaan kripto dan keuangan, menurut penelitian keamanan siber terbaru.
Genians, sebuah perusahaan keamanan siber Korea Selatan, mengatakan dalam sebuah laporan yang dirilis Senin bahwa mereka menemukan bukti Kimsuky mengoperasikan lingkungan model bahasa besar (LLM) lokal melalui Ollama, GPT4All, dan Msty, memberikan kelompok tersebut akses ke alat AI yang dapat berjalan tanpa mengandalkan layanan cloud eksternal.
Menjalankan model secara lokal memungkinkan operator untuk membuat kueri tanpa mengirim informasi serangan yang berpotensi sensitif ke penyedia AI pihak ketiga. Menurut penelitian, lingkungan tersebut juga mendukung generasi yang diperkaya pengambilan (retrieval-augmented generation), yang dapat menghubungkan model AI dengan informasi tambahan yang disediakan oleh operatornya.
Di samping ketiga lingkungan tersebut, para peneliti menemukan pustaka (libraries) dan kerangka kerja (frameworks) yang dapat menyematkan model bahasa ke dalam perangkat lunak kustom. Kimsuky juga telah mengumpulkan asisten pengodean AI Cursor dan alat teks-ke-suara saat mereka merakit infrastruktur AI-nya.
Daripada mengembangkan model AI baru, aktivitas yang diperiksa oleh Genians berpusat pada pemanfaatan teknologi sumber terbuka (open-source) yang sudah ada untuk pengembangan malware, analisis data, dan otomatisasi serangan.
Perusahaan tersebut menilai bahwa aktivitas tersebut telah melampaui pengujian terisolasi karena Kimsuky terus-menerus bersiap untuk mengintegrasikan AI ke dalam kemampuan serangan operasional. Namun, temuannya tidak menunjukkan bahwa kelompok tersebut mengembangkan model AI proprietary dari awal.
Menjaga model pada infrastruktur lokal juga dapat memungkinkan peretas untuk bekerja dengan informasi tanpa mengirimkannya ke sistem cloud eksternal, menurut laporan tersebut. Kumpulan perangkat lunak pendukung menunjukkan bahwa lingkungan AI merupakan bagian dari pengaturan teknis yang lebih besar daripada hanya berfungsi sebagai alat obrolan mandiri.
Kimsuky juga terus menggunakan AI generatif untuk menyiapkan materi phishing yang berfokus pada mata uang kripto, strategi investasi, dan layanan fintech, menurut Genians.
Para peneliti mengidentifikasi dokumen yang rapi yang secara cermat meniru materi yang terkait dengan platform investasi bertenaga AI Korea. File-file tersebut menggunakan bahasa alami, format yang konsisten, dan elemen desain profesional yang oleh perusahaan keamanan siber diasosiasikan dengan konten yang dibuat AI.
Materi tersebut menyediakan kegunaan lain untuk infrastruktur AI kelompok selain pengodean dan pemrosesan data. Daripada hanya mengandalkan email phishing yang ditulis dengan buruk, operator dapat menggunakan alat generatif untuk menyiapkan dokumen yang dirancang seputar subjek keuangan yang relevan dengan target yang dituju.
Temuan ini menambahkan Kimsuky ke dalam serangkaian operasi yang terkait dengan Korea Utara yang menggunakan metode teknis dan rekayasa sosial yang lebih baru terhadap industri mata uang kripto.
Pada bulan Juli, perusahaan keamanan siber JUMPSEC melaporkan bahwa BlueNoroff, kelompok lain yang terkait dengan Korea Utara, mengoperasikan rapat Zoom dan Microsoft Teams palsu yang memprofilkan pengguna mata uang kripto sebelum malware dikirimkan.
JUMPSEC memulihkan kode sumber dari kit phishing aktif setelah operatornya secara tidak sengaja mengekspos peta sumber JavaScript. Kode tersebut berisi fungsi pemindaian dompet (wallet-scanning), kontrol operator, dan rute pengiriman malware terpisah untuk Windows dan macOS.
Begitu target memasuki halaman rapat palsu, sistem memeriksa koneksi dompet Ethereum dan dompet non-EVM, termasuk alat Solana, sebelum mengirim hasilnya ke panel operator. Implan Windows juga dapat mengidentifikasi ekstensi peramban (browser extensions) di berbagai varian Chrome, Edge, Brave, Opera, Vivaldi, dan Firefox, memungkinkan operator untuk memeriksa dompet seperti MetaMask.
Para penyerang kemudian dapat memutuskan apakah akan melanjutkan intrusi berdasarkan informasi yang dikumpulkan dari target, demikian ditemukan JUMPSEC.
AI juga muncul dalam operasi rapat palsu BlueNoroff, meskipun dalam peran yang berbeda dari model lokal yang diidentifikasi dalam penelitian Kimsuky.
Menurut JUMPSEC, operator menggabungkan gambar kepala buatan AI (AI-generated headshots) dengan gerakan tubuh yang diambil dari rapat sebelumnya untuk menciptakan peserta yang meyakinkan untuk panggilan video palsu. Korban dapat tiba melalui akun Telegram milik kontak asli yang akunnya telah disusupi, sebelum menerima undangan Calendly yang mengarahkan mereka ke domain rapat palsu.
Selama panggilan, operator dapat menampilkan video yang disiapkan, mengirim pesan tentang dugaan masalah mikrofon, dan memicu pembaruan perangkat lunak Zoom palsu. Pada Windows, proses ClickFix yang dihasilkan menggunakan PowerShell dan VBScript, sedangkan rute macOS mengirimkan penginstal rapat palsu bersama dengan malware pencuri informasi.
Arctic Wolf sebelumnya telah mengidentifikasi lebih dari 80 domain Zoom dan Teams yang mirip yang terkait dengan operasi serupa. Sekitar 80% dari target yang diidentifikasi bekerja di sektor kripto, keuangan blockchain, atau investasi terkait, sementara pendiri dan eksekutif puncak mewakili 45% dari target yang teridentifikasi.
Operasi Korea Utara juga telah mencari akses dari dalam perusahaan kripto daripada hanya mengandalkan phishing atau malware.
Pada bulan Juli, Consensys untuk sementara menghentikan rilis produk setelah menemukan bahwa seorang konsultan yang terkait dengan Korea Utara telah mendapatkan akses ke sistemnya selama kurang lebih satu bulan, menurut Drop Site News.
Konsultan tersebut, yang beroperasi dengan nama Tyler Knapp dan menggunakan nama pengguna GitHub 'imyugioh,' berkontribusi pada kode platform inti MetaMask, termasuk komponen yang menghubungkan pengguna mata uang kripto dengan penyedia pembayaran fiat pihak ketiga.
Penasihat umum Consensys, Matt Corva, mengatakan bahwa penyedia layanan pihak ketiga telah memperkenalkan konsultan tersebut kepada perusahaan. Perusahaan menghentikan aksesnya setelah mengidentifikasi ancaman tersebut dan mengatakan penyelidikannya tidak menemukan aset atau data yang dicuri, kode berbahaya, atau dampak pada keamanan pengguna.
Penelitian terpisah dari Proyek Ketman mengidentifikasi sekitar 100 pekerja IT Korea Utara yang dicurigai beroperasi dengan identitas palsu di 53 proyek kripto dan Web3. Penyelidik juga melacak kelompok-kelompok yang dicurigai di 11 repositori kode di mana proyek-proyek telah menggabungkan 62 permintaan penarikan (pull requests) sebelum aktivitas tersebut terdeteksi.
Pengembangan infrastruktur serangan yang dibantu AI ini terjadi setelah kelompok peretas Korea Utara mencuri diperkirakan $2,02 miliar dalam mata uang kripto selama tahun 2025, menurut data Chainalysis yang sebelumnya dilaporkan oleh crypto.news.
Sebagian besar kerugian tahun itu berasal dari serangan Februari 2025 terhadap Bybit, di mana lebih dari 400.000 Ether dan staked Ether senilai sekitar $1,5 miliar dicuri. FBI mengaitkan pelanggaran tersebut dengan Korea Utara dan mengidentifikasi pelaku yang bertanggung jawab di bawah penunjukan TraderTraitor-nya.
Bybit sejak itu membawa sengketa tersebut ke pengadilan federal AS. Pada 8 Agustus, bursa tersebut menggugat Republik Rakyat Demokratik Korea, badan intelijen Biro Umum Pengintaiannya (Reconnaissance General Bureau), dan Lazarus Group di Pengadilan Distrik AS untuk Distrik Columbia.
Bursa tersebut juga memperoleh perintah awal yang mencakup aset curian tertentu yang dipegang oleh tergugat yang tidak dikenal. Perintah tersebut mencegah aset yang teridentifikasi untuk dipindahkan, dijual, atau dibuang dengan cara lain selama kasus perdata berlanjut, meskipun itu bukan merupakan putusan akhir atas kepemilikan atau kewajiban.
Pelacakan blockchain menjadi semakin sulit setelah pencurian Bybit karena para penyerang mengonversi aset menjadi Bitcoin dan menyebarkan dana ke ribuan dompet. Pada April 2025, CEO Bybit Ben Zhou mengatakan 27,6% dari dana yang dicuri tidak dapat dilacak lagi.
Para peneliti juga telah memperingatkan bahwa AI dapat mengurangi waktu yang dibutuhkan penyerang untuk mengidentifikasi kelemahan dalam perangkat lunak. Salah satu pendiri NEAR Protocol, Illia Polosukhin, mengatakan AI meningkatkan kemampuan peretas untuk menemukan kerentanan lebih cepat daripada proses keamanan konvensional yang dapat menambalnya.
Eksploitasi dompet perangkat keras Bitcoin Coldcard senilai $100 juta juga dicurigai berasal dari kerentanan tersembunyi yang ditemukan dengan AI. Secara terpisah, operator Korea Utara terus menggunakan phishing, pekerja jarak jauh palsu, dan identitas online yang disusupi, sementara penelitian Genians terbaru menunjukkan Kimsuky sedang menyiapkan model AI lokal untuk pengembangan malware, analisis data, dan otomatisasi serangan.
