Los hackers de Corea del Norte se han armado con IA local para atacar a la industria de las criptomonedas.
El grupo de hackers norcoreano Kimsuky, conocido por sus audaces operaciones contra el sector financiero, ha alcanzado un nuevo nivel de evolución tecnológica. Mis colegas del ámbito de la ciberseguridad han detectado que los atacantes están integrando activamente grandes modelos de lenguaje (LLM) locales en sus cadenas de ataque, dirigidas a empresas de criptomonedas y servicios fintech.
IA offline como nueva arma
En la infraestructura de Kimsuky se han encontrado entornos basados en Ollama, GPT4All y Msty. La característica clave de estas herramientas es su total autonomía. Funcionan sin conexión, utilizando el método de Generación Aumentada por Recuperación, lo que permite a los hackers procesar datos y generar contenido sin enviar solicitudes a servicios en la nube. Esto no solo acelera las operaciones, sino que también las hace prácticamente invisibles para los sistemas de monitoreo que están acostumbrados a detectar rastros de interacción con API externas.
Además de los propios modelos, en el arsenal del grupo se han encontrado bibliotecas para integrar IA en su propio software, así como un asistente de programación Cursor y herramientas de reconocimiento de voz. Esto indica que Kimsuky no solo está experimentando con la tecnología, sino que la está integrando sistemáticamente en los procesos de desarrollo de código malicioso, análisis de datos y automatización de ataques.
De las pruebas a la aplicación operativa
Es notable que el grupo apuesta por soluciones de código abierto ya preparadas, en lugar de entrenar sus propios modelos. Este enfoque permite ahorrar recursos y adaptarse rápidamente a nuevas tareas. En mi opinión, estamos presenciando la transición de la etapa de proyectos piloto al uso operativo pleno de la IA en el cibercrimen.
Especialmente preocupante es el uso de IA generativa para crear documentos de phishing. Los atacantes generan materiales sobre activos digitales, estrategias de inversión y servicios fintech que parecen alarmantemente naturales. Parte de ellos imita la documentación de una plataforma de inversión coreana basada en IA, con un diseño profesional y un lenguaje impecable, lo que aumenta las posibilidades de engañar incluso a empleados experimentados.
Recordemos que en agosto, el exchange de criptomonedas Bybit presentó una demanda civil contra Corea del Norte y el Grupo Lazarus, lo que subraya la gravedad de la amenaza que representan los hackers norcoreanos.
Mi veredicto: La integración de LLM locales es una señal de alerta para toda la industria. Los métodos tradicionales de detección basados en el análisis del tráfico de red se vuelven inútiles. Las empresas de criptomonedas deberían revisar sus protocolos de seguridad, dando prioridad al análisis de comportamiento y a la capacitación de los empleados para reconocer ataques de phishing generados por IA.