Los hackers norcoreanos están integrando modelos de IA locales en ataques contra la industria de las criptomonedas.
El análisis de las últimas ciberamenazas muestra que el grupo norcoreano Kimsuky ha pasado de experimentar con inteligencia artificial a la aplicación práctica de sistemas LLM locales en sus operaciones contra organizaciones de criptomonedas y financieras. Esto se confirma mediante investigaciones técnicas que pude estudiar en el marco del monitoreo de amenazas.
Herramientas offline como nueva arma
En la infraestructura de los atacantes se han detectado entornos aislados basados en Ollama, GPT4All y Msty. La característica clave de estas soluciones es su total autonomía: funcionan sin servicios en la nube, lo que elimina la fuga de datos a través de canales de terceros. La tecnología de Generación Aumentada por Recuperación permite a los hackers procesar información sensible sin riesgo de interceptación.
Además, en el arsenal del grupo se han encontrado bibliotecas para integrar modelos de lenguaje en su propio software, la herramienta de programación Cursor y sistemas de reconocimiento de voz. Esto indica un serio desarrollo de ingeniería: Kimsuky no solo está probando la IA, sino que la integra en escenarios de combate reales, desde la generación de código malicioso hasta la automatización de campañas de phishing.
Phishing de nueva generación
Especialmente preocupante es el uso de IA generativa para crear materiales de phishing convincentes. Los documentos que imitan plataformas de inversión coreanas parecen profesionales y naturales, con una estructura, terminología y formato correctos. Esto supone un serio desafío para los sistemas de filtrado que se centran en detectar errores plantilla.
A diferencia de muchos otros grupos, Kimsuky apuesta por modelos abiertos ya existentes en lugar de entrenar los suyos propios. Este enfoque acelera la adaptación a nuevos mecanismos de defensa y reduce la barrera de entrada para los miembros del grupo menos preparados técnicamente.
Mi experiencia: La dinámica actual confirma que la IA se está convirtiendo en una parte integral del cibercrimen. Para las empresas de criptomonedas, esto significa la necesidad de revisar los sistemas de seguridad: las soluciones antivirus tradicionales ya no son efectivas contra ataques donde cada documento de phishing es único y está creado para un objetivo específico. Invertir en análisis de comportamiento y capacitación del personal ya no es una opción, sino una condición obligatoria para sobrevivir en el entorno de amenazas actual.