La RPDC lleva la ciberguerra a un nuevo nivel: Kimsuky adopta la IA para automatizar ataques
El grupo de hackers norcoreano Kimsuky, que opera bajo el paraguas de la Oficina de Reconocimiento del Estado Mayor General de la RPDC, está pasando del simple uso de IA generativa a la implementación sistemática de esta tecnología en sus ciberataques. Mi análisis muestra que esto ya no son experimentos aislados, sino una estrategia bien pensada para modernizar todo el ciclo de hackeo, desde el desarrollo de malware hasta la automatización de campañas de phishing.
Durante la investigación técnica, se descubrió que Kimsuky está explorando activamente herramientas para ejecutar modelos de IA localmente, incluyendo Ollama, GPT4All y Msty. Este enfoque no es casual: el procesamiento local de datos minimiza el riesgo de fuga de información confidencial y datos robados hacia servicios en la nube externos. Además, los hackers utilizan la tecnología de generación aumentada por recuperación (RAG), que permite a los modelos de IA extraer y analizar rápidamente información de documentos seleccionados.
Herramientas para una nueva era de ciberataques
En la infraestructura vinculada al grupo se ha descubierto todo un arsenal: marcos para agentes de IA, software de transcripción de voz a texto y Cursor, un editor de código con soporte de IA. En mi opinión, este conjunto indica que Kimsuky se está preparando para la automatización completa de procesos: desde la generación de código para programas maliciosos hasta el análisis de grandes volúmenes de datos y la coordinación de ataques. No se trata de artilugios banales, sino de la creación de una línea de producción de ciberamenazas.
Cabe señalar que anteriormente el grupo ya utilizaba IA para crear documentos financieros y de criptomonedas falsos como señuelo, imitando informes de inversión. Ahora, basándose en los datos recopilados, se puede afirmar que Kimsuky está estudiando sistemáticamente formas de implementar la IA de manera práctica, desde el desarrollo de malware hasta la mejora de métodos de intrusión. Sin embargo, a pesar de la investigación activa, aún no se han encontrado rastros de entrenamiento de modelos propios: el grupo depende de soluciones ya existentes.
Particularmente preocupante es la combinación de IA con ataques a la industria de las criptomonedas. Solo en 2025, los grupos norcoreanos robaron $2.02 mil millones en criptomonedas. La tecnología RAG permite extraer datos de documentos robados, y los sistemas de reconocimiento de voz convierten las interceptaciones de audio en texto fácilmente buscable. Esto aumenta drásticamente la eficiencia del espionaje y el robo de fondos.
Mi opinión experta: la integración de la IA en el arsenal de Kimsuky no es solo otro giro en la carrera armamentista del ciberespacio. Es una señal de que los hackers patrocinados por estados están comenzando a usar la IA como una herramienta completa para escalar ataques. Los intercambios de criptomonedas y las instituciones financieras deben revisar urgentemente sus sistemas de defensa, ya que los ataques automatizados basados en IA pueden evadir las firmas tradicionales y adaptarse más rápido a las contramedidas. Estamos al borde de una nueva era donde la velocidad y la complejidad de las ciberamenazas crecerán exponencialmente.