Kimsuky incorpora modelos locales de IA en ciberataques contra la industria de las criptomonedas
El grupo de hackers norcoreano Kimsuky, conocido por sus operaciones de larga duración contra el sector financiero, ha alcanzado un nuevo nivel de preparación tecnológica. El análisis de la infraestructura de los atacantes, realizado por especialistas en ciberseguridad, ha revelado el uso activo de entornos locales de grandes modelos de lenguaje (LLM) basados en Ollama, GPT4All y Msty. Estas herramientas funcionan completamente sin conexión, lo que permite a los operadores procesar datos sin enviarlos a servicios en la nube, minimizando el riesgo de detección.
Una característica clave de los sistemas descubiertos es el soporte de la metodología Retrieval-Augmented Generation (RAG). Esto significa que los hackers pueden consultar y analizar información de sus propias bases de datos sin depender de API externas, lo cual es crítico para mantener el anonimato y la seguridad operativa. Además, en el arsenal del grupo se han encontrado bibliotecas y marcos de trabajo para integrar modelos de lenguaje en su propio software malicioso, así como un asistente de IA para programación llamado Cursor y herramientas de reconocimiento de voz.
Lo que resulta especialmente preocupante no son solo los experimentos con IA, sino la integración sistemática de estas tecnologías en cadenas de ataque reales. Se trata de la automatización del análisis de datos, la generación de código para programas maliciosos y la mejora de la eficacia de las campañas de phishing. En lugar de entrenar sus propios modelos desde cero, Kimsuky apuesta por la adaptación de soluciones abiertas ya existentes, lo que acelera significativamente el ciclo de desarrollo y reduce la barrera de entrada para operaciones complejas.
Por otro lado, cabe destacar la calidad de los materiales de phishing generados. Los atacantes crean documentos que imitan documentos oficiales de plataformas surcoreanas de inversión con IA, con un diseño profesional y un lenguaje natural. Esto indica un alto nivel de automatización en la ingeniería social, dirigida a empleados de empresas de criptomonedas y fintech, así como a inversores privados.
Cabe señalar que en agosto de este año, el exchange de criptomonedas Bybit inició una demanda civil contra Corea del Norte y el grupo Lazarus Group. Sin embargo, como muestra la práctica, Kimsuky continúa evolucionando, y los hallazgos actuales subrayan la creciente amenaza de hackers patrocinados por estados que utilizan tecnologías avanzadas para eludir las medidas de protección tradicionales.
Mi comentario: El uso de LLM locales es un cambio estratégico en las tácticas de los grupos APT. El entorno sin conexión elimina la dependencia de proveedores externos y hace que el tráfico sea prácticamente invisible para los sistemas de monitoreo. La industria debería esperar una ola de ataques más sofisticados, donde la IA se utilizará no solo para phishing, sino también para la búsqueda autónoma de vulnerabilidades en el código. Las empresas de criptomonedas deben revisar sus protocolos de seguridad, centrándose en el análisis de comportamiento y la segmentación de redes, y no solo en detectores de firmas.