Los hackers de Corea del Norte suben de nivel: IA local en el arsenal de Kimsuky contra empresas de criptomonedas
El grupo de hackers norcoreano Kimsuky, conocido por sus ciberataques al sector financiero, está modernizando radicalmente su arsenal. Mis últimas observaciones sobre la actividad de este grupo indican que están implementando sistemas locales de inteligencia artificial para cazar empresas de criptomonedas y fintech. Esto no es solo una tendencia más, sino un cambio estratégico en las tácticas de los ciberdelincuentes a nivel estatal.
IA sin conexión: la nueva frontera de defensa y ataque
Durante el análisis de la infraestructura de Kimsuky, he descubierto entornos locales desplegados basados en plataformas LLM populares, incluyendo Ollama, GPT4All y Msty. La característica clave de estas soluciones es su total autonomía. Funcionan sin conexión, utilizando el método Retrieval-Augmented Generation (RAG), lo que permite a los hackers procesar datos y generar contenido sin enviar solicitudes a servicios en la nube. Esto los hace prácticamente invisibles para los sistemas de monitoreo que normalmente rastrean tráfico sospechoso hacia las API de los principales proveedores de IA.
Además, en el arsenal del grupo no solo se encuentran modelos listos para usar, sino también bibliotecas para integrar IA en su propio software malicioso. Merece especial atención el uso de Cursor, un asistente de IA para programación, así como herramientas de reconocimiento de voz. Esto sugiere que Kimsuky está automatizando no solo la escritura de código, sino también potencialmente la ingeniería social.
De experimentos a uso operativo
Es importante destacar: estos ya no son lanzamientos de prueba. Mis datos se correlacionan con las conclusiones de expertos en ciberseguridad que registran la transición del grupo de evaluar las capacidades de la IA a integrarla plenamente en cadenas de ataque reales. Se da prioridad al uso de tecnologías open-source listas para usar, en lugar de entrenar modelos propios, lo que acelera significativamente el ciclo de desarrollo de nuevas amenazas.
Particularmente alarmante es el uso de IA generativa para crear documentos de phishing. He logrado identificar materiales que imitan documentos de plataformas de inversión coreanas basadas en IA. Se distinguen por un lenguaje natural impecable y un diseño profesional, lo que los hace prácticamente indistinguibles de correos legítimos. Esto impacta directamente en el punto débil de los inversores en criptomonedas, que están acostumbrados a confiar en asesores automatizados.
Recordemos que en agosto, el exchange de criptomonedas Bybit presentó una demanda civil contra Corea del Norte y el Grupo Lazarus, lo que subraya la magnitud de la amenaza que representan los hackers norcoreanos.
Mi comentario: El uso de LLM locales es un paso evolutivo que reduce la barrera de entrada para los atacantes y, al mismo tiempo, aumenta la complejidad de su detección. Las empresas financieras y los exchanges de criptomonedas deberían reconsiderar sus estrategias de protección, apostando por el análisis de comportamiento y la autenticación multifactor, en lugar de solo por firmas de software malicioso. El arma de IA en manos de hackers estatales es un nuevo desafío para el que el mercado aún no está preparado.