Los hackers norcoreanos se han armado con IA local para atacar a la industria de las criptomonedas.
El análisis de la infraestructura del grupo de hackers norcoreano Kimsuky ha revelado una tendencia alarmante: los atacantes están integrando activamente modelos de lenguaje grandes (LLM) locales en sus operaciones dirigidas a organizaciones de criptomonedas y financieras. Esto ya no es un experimento, sino una transición completa hacia la automatización de ciberataques con inteligencia artificial.
IA sin conexión: la nueva frontera de la defensa de los hackers
Durante la investigación técnica, pude descubrir que Kimsuky ha implementado entornos LLM locales basados en las plataformas de código abierto Ollama, GPT4All y Msty. La característica clave de estas herramientas es su total autonomía. Funcionan sin conexión, utilizando el método de Generación Aumentada por Recuperación (RAG), lo que permite a los hackers procesar solicitudes y generar contenido sin transferir datos a servicios en la nube. Esto reduce significativamente el riesgo de detección e interceptación del tráfico.
Además, en el arsenal del grupo se encontraron bibliotecas y marcos de trabajo para integrar modelos de lenguaje en su propio software malicioso, así como un asistente de IA especializado para programación llamado Cursor y herramientas de reconocimiento de voz. Este conjunto indica un desarrollo profundo: la IA no solo se utiliza para generar textos, sino también para optimizar código, analizar datos y automatizar parcialmente las etapas del ataque.
Phishing de nueva generación
Especial atención merece el uso de IA generativa para crear materiales de phishing. Los documentos encontrados imitan archivos legítimos de plataformas de inversión en IA coreanas, dedicados a activos digitales y estrategias fintech. Se distinguen por un lenguaje natural impecable y un diseño profesional, lo que los hace prácticamente indistinguibles de los reales. Esto indica que Kimsuky apuesta por la calidad de la ingeniería social, aumentando la probabilidad de engañar incluso a empleados experimentados de empresas de criptomonedas.
Es evidente que los hackers norcoreanos no solo están probando tecnologías, sino que las están preparando para su uso operativo. La prioridad es utilizar soluciones de código abierto ya disponibles, lo que permite escalar rápidamente los ataques sin costos significativos en el entrenamiento de modelos propios.
Recordemos que en agosto, el exchange de criptomonedas Bybit presentó una demanda civil contra Corea del Norte y el Grupo Lazarus, lo que subraya la creciente amenaza legal y operativa de estos grupos.
Mi comentario: La transición de Kimsuky a LLM locales es una señal seria para toda la industria. Los métodos tradicionales de detección de phishing, basados en el análisis de texto y la reputación del remitente, se están volviendo ineficaces. Las empresas de criptomonedas deben implementar urgentemente autenticación multifactor y capacitación del personal, así como considerar soluciones de protección basadas en IA que puedan contrarrestar ataques igualmente inteligentes.