Кимсукы выходит на новый уровень: северокорейские хакеры вооружаются локальным ИИ для ударов по криптоиндустрии
El mundo de las criptomonedas se enfrenta a una nueva amenaza que está cambiando las reglas del juego en la ciberseguridad. El grupo Kimsuky, que opera en interés de Corea del Norte, ha pasado de experimentar con inteligencia artificial a aplicarla activamente en ataques reales contra empresas financieras y de criptomonedas. Ya no son solo hackers con campañas de phishing: son un adversario armado con herramientas tecnológicas avanzadas.
Durante el análisis de la infraestructura de los atacantes, logré identificar el uso de entornos LLM locales basados en Ollama, GPT4All y Msty. La característica clave de estas soluciones es su total autonomía. Funcionan sin conexión, admitiendo el método Retrieval-Augmented Generation, lo que permite procesar solicitudes sin transferir datos a servicios en la nube. Esto hace que los ataques sean prácticamente invisibles para los sistemas de monitoreo tradicionales, acostumbrados a rastrear tráfico de red sospechoso.
Del phishing a operaciones automatizadas
En el arsenal del grupo se han encontrado no solo modelos de lenguaje, sino también un conjunto completo de herramientas para integrarlos en su propio software. Merece especial atención el uso de Cursor, un asistente de IA para programación, así como sistemas de reconocimiento de voz. Esto indica que Kimsuky está construyendo un pipeline completo de automatización de ataques, donde la IA se utiliza para escribir código malicioso, analizar grandes volúmenes de datos y coordinar acciones.
Es revelador que el grupo apueste por tecnologías abiertas ya existentes, en lugar de entrenar sus propios modelos. Este es un enfoque pragmático que permite escalar rápidamente las capacidades de ataque sin costos de recursos significativos. Cabe destacar que los materiales de phishing creados con IA generativa se han vuelto tan sofisticados que imitan documentos de la plataforma de inversiones con IA coreana, con un diseño profesional y lenguaje natural. Esto supone un serio desafío para los sistemas de filtrado de spam y la capacitación de empleados.
La situación se agrava por el hecho de que en agosto el exchange de criptomonedas Bybit ya presentó una demanda civil contra Corea del Norte y el Grupo Lazarus, lo que subraya la magnitud de la amenaza que representan los hackers norcoreanos. Sin embargo, en mi opinión, la industria debería replantear sus enfoques de protección: los métodos tradicionales basados en el análisis de anomalías de red se están volviendo ineficaces contra sistemas de IA autónomos. Necesitamos nuevas estrategias, incluido el análisis de comportamiento y la búsqueda proactiva de amenazas dentro del perímetro; de lo contrario, corremos el riesgo de quedarnos atrás frente a un adversario que ya utiliza la IA como arma principal.