Los hackers norcoreanos de Kimsuky se han armado con IA local para atacar a la industria de las criptomonedas.
El análisis de la infraestructura del grupo de hackers norcoreano Kimsuky, realizado por especialistas en ciberseguridad, ha revelado una tendencia alarmante: los atacantes están integrando activamente grandes modelos de lenguaje (LLM) locales en sus cadenas de ataque dirigidas a organizaciones de criptomonedas y financieras. No se trata de experimentos, sino de una transición completa hacia el uso de IA offline para aumentar la eficacia de las operaciones maliciosas.
La IA offline como nueva arma
Durante la investigación técnica se descubrieron entornos desplegados basados en plataformas como Ollama, GPT4All y Msty. La característica clave de estas herramientas es su autonomía. Funcionan sin recurrir a servicios en la nube, lo que las hace prácticamente invisibles para los sistemas tradicionales de monitoreo de tráfico de red. El método de Generación Aumentada por Recuperación (RAG) permite a los hackers procesar datos locales y generar consultas sin riesgo de filtrar el contexto del ataque a centros de datos externos.
Además de los propios LLM, en el arsenal del grupo se han encontrado bibliotecas y marcos de trabajo para integrar modelos de lenguaje en su propio software, así como un asistente de IA para programación llamado Cursor y herramientas de reconocimiento de voz. Esto es una indicación directa de que Kimsuky está automatizando no solo la redacción de correos de phishing, sino también los procesos de análisis de vulnerabilidades y la generación de código para malware.
Enfoque pragmático y phishing de nueva generación
Es notable que Kimsuky no gasta recursos en entrenar sus propios modelos desde cero. Su estrategia es el uso pragmático de soluciones open-source listas para usar, lo que acelera significativamente el ciclo de desarrollo de ataques y reduce la barrera de entrada para crear operaciones cibernéticas complejas. Especial atención atrae el uso de IA generativa para crear documentos de phishing que imitan materiales sobre activos digitales, estrategias de inversión y servicios fintech. Algunas muestras estaban estilizadas como documentos de una plataforma de inversión coreana con IA, destacando por su alta calidad lingüística y presentación profesional, lo que las hace prácticamente indistinguibles de la correspondencia legítima.
Esto ya no es solo automatización de envíos masivos, sino la creación de trampas puntuales y altamente personalizadas capaces de engañar incluso a empleados experimentados de departamentos financieros. Recuerdo que en agosto, el exchange de criptomonedas Bybit presentó una demanda civil contra Corea del Norte y el Grupo Lazarus, lo que subraya la naturaleza sistémica de la amenaza que representan los hackers estatales norcoreanos.
Mi comentario: La transición de Kimsuky a LLM locales es un salto evolutivo en el cibercrimen. El uso de IA offline no solo aumenta el sigilo, sino que también hace que los ataques sean más adaptativos. La industria necesita cambiar el enfoque de la detección de firmas hacia el análisis de comportamiento y el monitoreo de anomalías en el uso de recursos computacionales dentro del perímetro, ya que los sandboxes tradicionales y los escáneres en la nube son cada vez menos efectivos contra este tipo de adversarios.