Північнокорейська хакерська група Kimsuky створила три локальні ШІ-середовища в рамках підготовки до кібератак, спрямованих на криптовалютні та фінансові компанії, згідно з новим дослідженням кібербезпеки.
Genians, південнокорейська компанія з кібербезпеки, заявила у звіті, оприлюдненому в понеділок, що виявила докази функціонування Kimsuky локальних великих мовних моделей через Ollama, GPT4All та Msty, що надає групі доступ до ШІ-інструментів, які можуть працювати без опори на зовнішні хмарні сервіси.
Запуск моделей локально дозволяє операторам виконувати запити, не надсилаючи потенційно конфіденційну інформацію про атаки стороннім постачальникам ШІ. Згідно з дослідженням, ці середовища також підтримують генерацію з розширеним пошуком (retrieval-augmented generation), що може зв'язувати модель ШІ з додатковою інформацією, наданою її оператором.
Крім трьох середовищ, дослідники виявили бібліотеки та фреймворки, які можуть вбудовувати мовні моделі у спеціалізоване програмне забезпечення. Kimsuky також зібрала помічника для ШІ-кодування Cursor та інструменти перетворення мови в текст, складаючи свою ШІ-інфраструктуру.
Замість розробки нових ШІ-моделей, діяльність, досліджена Genians, зосереджувалася на використанні існуючих технологій з відкритим вихідним кодом для розробки шкідливого програмного забезпечення, аналізу даних та автоматизації атак.
Фірма оцінила, що діяльність вийшла за рамки ізольованих тестів, оскільки Kimsuky постійно готувалася інтегрувати ШІ в оперативні можливості атаки. Однак її висновки не показали, що група розробляла власні моделі ШІ з нуля.
Зберігання моделей на локальній інфраструктурі також може дозволити хакерам працювати з інформацією, не надсилаючи її до зовнішніх хмарних систем, згідно зі звітом. Збір допоміжного програмного забезпечення свідчить про те, що ШІ-середовища є частиною більшої технічної установки, а не функціонують лише як автономні чат-інструменти.
Kimsuky також продовжує використовувати генеративний ШІ для підготовки фішингових матеріалів, зосереджених на криптовалюті, інвестиційних стратегіях та фінтех-сервісах, за даними Genians.
Дослідники виявили добре розроблені документи, які точно копіювали матеріали, пов'язані з корейською інвестиційною платформою на базі ШІ. Файли використовували природну мову, послідовне форматування та професійні елементи дизайну, які компанія з кібербезпеки пов'язувала зі ШІ-згенерованим контентом.
Такі матеріали надають ще одне застосування для ШІ-інфраструктури групи, крім кодування та обробки даних. Замість того, щоб покладатися лише на погано написані фішингові електронні листи, оператори можуть використовувати генеративні інструменти для підготовки документів, розроблених навколо фінансових тем, що мають відношення до їхніх цільових об'єктів.
Ці висновки додають Kimsuky до серії операцій, пов'язаних з Північною Кореєю, що використовують новітні технічні методи та методи соціальної інженерії проти криптовалютної індустрії.
У липні фірма з кібербезпеки JUMPSEC повідомила, що BlueNoroff, ще одна група, пов'язана з Північною Кореєю, проводила фальшиві зустрічі Zoom та Microsoft Teams, які профілювали користувачів криптовалют перед доставкою шкідливого програмного забезпечення.
JUMPSEC відновила вихідний код з активного фішингового комплекту після того, як його оператори випадково викрили вихідні карти JavaScript. Код містив функції сканування гаманців, елементи управління оператора та окремі маршрути доставки шкідливого програмного забезпечення для Windows та macOS.
Після того, як ціль потрапляла на фальшиву сторінку зустрічі, система перевіряла наявність підключень до гаманців Ethereum та гаманців, що не є EVM, включаючи інструменти Solana, перш ніж надсилати результати на панель оператора. Імплантати Windows також могли ідентифікувати розширення браузерів Chrome, Edge, Brave, Opera, Vivaldi та Firefox, дозволяючи операторам перевіряти наявність гаманців, таких як MetaMask.
Після цього зловмисники могли вирішити, чи продовжувати вторгнення, базуючись на інформації, зібраній від цілі, виявила JUMPSEC.
ШІ також з'явився в операції BlueNoroff з фальшивими зустрічами, хоча в іншій ролі, ніж локальні моделі, ідентифіковані в дослідженні Kimsuky.
За даними JUMPSEC, оператори поєднували ШІ-згенеровані фотографії облич з рухами тіла, взятими з попередніх зустрічей, щоб створити переконливих учасників для фальшивих відеодзвінків. Жертви могли прибути через обліковий запис Telegram, що належить реальному контакту, чий обліковий запис вже був скомпрометований, перш ніж отримати запрошення Calendly, яке перенаправляло їх на домен фальшивої зустрічі.
Під час дзвінка оператор міг відобразити підготовлене відео, надіслати повідомлення про передбачувану проблему з мікрофоном та запустити фальшиве оновлення програмного забезпечення Zoom. На Windows, отриманий процес ClickFix використовував PowerShell та VBScript, тоді як маршрут macOS доставляв фальшивий інсталятор зустрічі разом зі шкідливим програмним забезпеченням для крадіжки інформації.
Arctic Wolf раніше ідентифікувала понад 80 схожих доменів Zoom та Teams, пов'язаних з відповідними операціями. Близько 80% ідентифікованих цілей працювали в крипто, блокчейн-фінансах або пов'язаних інвестиційних секторах, тоді як засновники та керівники становили 45% ідентифікованих цілей.
Північнокорейські операції також шукали доступ всередині криптокомпаній, а не покладалися виключно на фішинг або шкідливе програмне забезпечення.
У липні Consensys тимчасово призупинила випуск продуктів після того, як виявила, що консультант, пов'язаний з Північною Кореєю, отримав доступ до її систем приблизно на один місяць, згідно з Drop Site News.
Консультант, який працював під іменем Тайлер Кнапп (Tyler Knapp) та використовував обліковий запис GitHub “imyugioh”, зробив внесок у основний код платформи MetaMask, включаючи компоненти, що з'єднують користувачів криптовалют зі сторонніми постачальниками фіатних платежів.
Головний юрисконсульт Consensys Метт Корва (Matt Corva) сказав, що сторонній постачальник послуг представив консультанта компанії. Компанія припинила його доступ після виявлення загрози та заявила, що її розслідування не виявило вкрадених активів чи даних, шкідливого коду або впливу на безпеку користувачів.
Окреме дослідження від Ketman Project ідентифікувало близько 100 підозрюваних північнокорейських ІТ-працівників, які діяли під фальшивими особами в 53 крипто- та Web3-проектах. Слідчі також відстежили підозрювані групи в 11 репозиторіях коду, де проекти вже об'єднали 62 запити на злиття (pull requests) до того, як діяльність була виявлена.
Розробка інфраструктури атак за допомогою ШІ відбувається після того, як північнокорейські хакерські групи вкрали приблизно 2,02 мільярда доларів у криптовалюті протягом 2025 року, згідно з даними Chainalysis, раніше повідомленими crypto.news.
Більшість втрат за рік припала на атаку на Bybit у лютому 2025 року, під час якої було викрадено понад 400 000 Ether та staked Ether на суму близько 1,5 мільярда доларів. ФБР приписало цей злам Північній Кореї та ідентифікувало відповідальних акторів під своїм позначенням TraderTraitor.
Відтоді Bybit передала спір до федерального суду США. 8 серпня біржа подала позов проти Корейської Народно-Демократичної Республіки, її розвідувального агентства Reconnaissance General Bureau та Lazarus Group до Окружного суду США округу Колумбія.
Біржа також отримала попередню судову заборону, що стосується певних викрадених активів, які утримуються невстановленими відповідачами. Цей наказ забороняє передачу, продаж або інше відчуження ідентифікованих активів під час розгляду цивільної справи, хоча він не є остаточним рішенням щодо права власності або відповідальності.
Відстеження блокчейну стало дедалі складнішим після крадіжки на Bybit, оскільки зловмисники конвертували активи в Bitcoin і розпорошили кошти по тисячах гаманців. До квітня 2025 року генеральний директор Bybit Бен Чжоу (Ben Zhou) заявив, що 27,6% вкрадених коштів вже неможливо відстежити.
Дослідники також попереджали, що ШІ може скоротити час, необхідний зловмисникам для виявлення слабких місць у програмному забезпеченні. Співзасновник NEAR Protocol Ілля Полосухін (Illia Polosukhin) заявив, що ШІ підвищує здатність хакерів знаходити вразливості швидше, ніж звичайні процеси безпеки можуть їх виправити.
Витік даних апаратного гаманця Coldcard Bitcoin на 100 мільйонів доларів також підозрюється у виникненні з неясної вразливості, виявленої за допомогою ШІ. Окремо, північнокорейські оператори продовжують використовувати фішинг, фальшивих віддалених працівників та скомпрометовані онлайн-ідентичності, тоді як останнє дослідження Genians показує, що Kimsuky готує локальні моделі ШІ для розробки шкідливого програмного забезпечення, аналізу даних та автоматизації атак.
ETH
BTC
