Kimsuky настраивала локальные ИИ-среды, ища способы привнести искусственный интеллект в свои операции по кибератакам. Установлено, что связанный с Северной Кореей злоумышленник, который часто нацеливался на криптовалютный и финансовый секторы, создал локальные среды LLM с использованием Ollama, GPT4All и Msty.
По словам Genians, локальный подход предотвращает передачу данных переписки во внешние ИИ-сервисы, тем самым снижая риск внешней утечки.
ИИ добавлен в арсенал криптоатак
Согласно отчёту, эта активность показала, что группа выстраивала возможности по интеграции искусственного интеллекта в свои атаки. В GPT4All следователи обнаружили базу данных, связанную с его функцией LocalDocs. Компания по кибербезопасности сообщила, что улики указывают на то, что злоумышленник, возможно, пытался подключить имеющиеся у него документы к ИИ-системе и использовать их как источник знаний.
Группа также собирала библиотеки и фреймворки, способные интегрировать искусственный интеллект в ПО. В их числе LLaMaSharp, Microsoft Semantic Kernel и Microsoft Agents AI. Эти компоненты охватывали локальное выполнение ИИ, извлечение документов, автоматизированных агентов и интеграцию с внешними ИИ-сервисами.
Расследование также обнаружило файлы, связанные с Whisper и faster-whisper — инструментами преобразования речи в текст. По словам Genians, такие инструменты могли бы быть использованы во зло для обработки и анализа материала, украденного или собранного со скомпрометированных систем.
Компания далее добавила:
«Это даёт конкретное доказательство того, что связанный с Kimsuky злоумышленник выходит за рамки разового экспериментирования с ИИ и непрерывно готовится интегрировать технологию в реальные атакующие возможности, включая разработку вредоносного ПО, анализ данных и совершенствование техник атак».
Северная Корея, хакеры и криптоиндустрия
Если посмотреть шире, связанные с Северной Кореей атакующие несли ответственность за более чем половину криптовалюты, украденной в первой половине 2026 года, согласно недавним выводам Blockaid. Компания сообщила, что связанные с КНДР атакующие похитили около $609 млн за этот период, что составляет примерно 55% от $1,1 млрд, потерянных в 212 инцидентах.
Атаки на KelpDAO и Drift Protocol были связаны с TraderTraitor — поддерживаемой государством северокорейской группой, ассоциируемой с Lazarus. На эти две атаки пришлась бо́льшая часть потерь, связанных с КНДР. Humanity Protocol также потерял $32 млн в атаке, привязанной к той же группе. Эти выводы подчёркивают продолжающуюся роль Северной Кореи в некоторых крупнейших криптокражах 2026 года.
Эти оперативники также искали доступ изнутри отрасли. Известный блокчейн-исследователь ZachXBT ранее сообщал, что северокорейские IT-работники сгенерировали более $3,5 млн в крипте через поддельные личности разработчиков и скоординированную платёжную систему. Операция всплыла после того, как хакер скомпрометировал устройство одного из работников и раскрыл записи, привязанные почти к 390 аккаунтам.
Утёкшие данные показали, что операция приносила около $1 млн в месяц. Работники использовали поддельные личности и подложные документы, чтобы получать работу на разных проектах. Их платежи отслеживались через внутреннюю платформу, где работники сообщали о своём доходе, а администраторы управляли переводами. Записи со скомпрометированного устройства также показали использование VPN и множества сфабрикованных персон. Логи чатов раскрыли, что десятки работников были активны в одной и той же системе.
Источник: CryptoPotato
