Kimsuky se arma con IA local: un nuevo vector de ataques contra la industria cripto
El grupo de hackers norcoreano Kimsuky, conocido por sus ataques al sector financiero, ha alcanzado un nivel fundamentalmente nuevo de evolución tecnológica. Según mi análisis de los datos de investigadores surcoreanos en ciberseguridad, el grupo está integrando activamente sistemas locales de inteligencia artificial en sus cadenas de ataque dirigidas a empresas de criptomonedas y financieras.
La característica clave de la nueva táctica es el uso de entornos LLM locales basados en plataformas de código abierto como Ollama, GPT4All y Msty. Este es un punto fundamentalmente importante: estos modelos funcionan completamente sin conexión y admiten el método de Generación Aumentada por Recuperación (Retrieval-Augmented Generation). En otras palabras, los operadores pueden procesar datos sensibles, incluidas posibles filtraciones de sistemas comprometidos, sin enviar solicitudes a servicios en la nube, lo que elimina por completo la posibilidad de interceptación de tráfico o detección de anomalías a través de proveedores de nube.
En la infraestructura del grupo se han detectado no solo los propios modelos, sino también todo un arsenal de herramientas complementarias: bibliotecas para integrar modelos de lenguaje en software propio, el asistente de IA para programación Cursor y sistemas de reconocimiento de voz. Esto indica que Kimsuky no solo está experimentando, sino que está creando un pipeline completo de automatización de ataques.
De experimentos a uso operativo
Es importante destacar que no se trata de probar la tecnología, sino de prepararse para operaciones reales. El grupo apuesta por el uso de soluciones de código abierto ya preparadas, en lugar de entrenar sus propios modelos desde cero. Esto reduce significativamente el tiempo de desarrollo y permite adaptar rápidamente las herramientas a tareas específicas, desde la generación de correos de phishing hasta el análisis de grandes volúmenes de datos robados durante intrusiones.
Especialmente preocupante es el uso de IA generativa para crear documentos de phishing. Parte de estos materiales imita documentos oficiales de una plataforma de inversión coreana con IA, destacando por su lenguaje natural y presentación profesional. Ya no se trata de envíos masivos con errores, sino de ataques dirigidos y personalizados capaces de engañar incluso a empleados experimentados de organizaciones financieras.
Cabe señalar que esto es solo otra confirmación de una amenaza sistémica. Anteriormente, el exchange de criptomonedas Bybit ya presentó una demanda civil contra Corea del Norte y el Grupo Lazarus, lo que subraya la magnitud del problema. En mi opinión, el uso de IA local es un paso estratégico que hace que los ataques de los hackers norcoreanos sean aún más difíciles de detectar. La industria necesita revisar urgentemente sus protocolos de seguridad, centrándose en el análisis de comportamiento y la monitorización de acciones anómalas, y no solo en las firmas de malware conocido.