Los hackers norcoreanos se han armado con IA local para atacar a la industria de las criptomonedas.
El grupo Kimsuky, que opera en interés de Corea del Norte, ha pasado a un nuevo nivel de equipamiento tecnológico. En lugar de soluciones en la nube, los hackers ahora despliegan entornos locales basados en grandes modelos de lenguaje (LLM), como Ollama, GPT4All y Msty. Esto cambia fundamentalmente el panorama de amenazas: todo el procesamiento de datos ocurre fuera de línea, lo que elimina la interceptación de tráfico y hace que los ataques sean prácticamente invisibles para los sistemas de monitoreo tradicionales.
Inteligencia autónoma en manos de los atacantes
La característica clave de la infraestructura detectada es el uso del método Retrieval-Augmented Generation (RAG). Permite a los hackers solicitar información y generar contenido sin enviar datos a servicios externos, lo que dificulta la detección de su actividad. En el arsenal del grupo también se encontraron bibliotecas para integrar IA en su propio software, el asistente de programación Cursor y herramientas de reconocimiento de voz.
Estos ya no son intentos experimentales, sino una preparación sistemática para el uso operativo. Kimsuky claramente apuesta por integrar LLM de código abierto en cadenas de ataque reales, desde la automatización del phishing hasta el análisis de datos y el desarrollo de código malicioso. Se da prioridad a soluciones listas para usar, en lugar de crear modelos propios, lo que reduce el tiempo de preparación de las operaciones.
Phishing de nueva generación
Especialmente preocupante es el uso de IA generativa para crear documentos de phishing que imitan materiales sobre activos digitales, estrategias de inversión y servicios fintech. Parte de estos correos están estilizados como documentación de la plataforma de inversión coreana de IA: se distinguen por un lenguaje natural y un diseño impecable, lo que los hace prácticamente indistinguibles de los legítimos.
Recuerdo que en agosto, el exchange de criptomonedas Bybit ya presentó una demanda civil contra Corea del Norte y el Grupo Lazarus, lo que subraya la magnitud de la amenaza de los hackers norcoreanos.
Mi conclusión: la transición de Kimsuky a herramientas de IA locales es una señal para toda la industria cripto. Los métodos de protección tradicionales, basados en el análisis del tráfico de red, se vuelven menos efectivos. Las empresas necesitan revisar sus estrategias de ciberseguridad, centrándose en el análisis de comportamiento y la autenticación multifactorial, así como capacitar a los empleados para reconocer incluso los ataques de phishing de mayor calidad.