IA al servicio de Pionyang: el grupo Kimsuky domina los modelos generativos para la ciberguerra
El grupo de hackers norcoreano Kimsuky, que opera bajo el paraguas de la Oficina de Reconocimiento del Estado Mayor General de la RPDC, ha pasado del simple uso de IA generativa para phishing al estudio sistemático e implementación de esta tecnología en sus cadenas de ataque. No se trata de experimentos aislados, sino de la formación de un arsenal completo de ciberarmas de nueva generación.
Mi análisis de los incidentes registrados durante las últimas campañas muestra que Kimsuky está probando activamente herramientas locales para ejecutar modelos LLM, incluyendo Ollama, GPT4All y Msty. Este enfoque no es solo una moda pasajera. El procesamiento local de datos es crítico para el secreto: permite a los atacantes minimizar el riesgo de fuga de información robada hacia servicios de IA externos que podrían estar controlados por agencias de inteligencia occidentales.
Stack tecnológico y nuevas capacidades
En la infraestructura vinculada al grupo se han detectado no solo plataformas para ejecutar modelos, sino también tecnología RAG (Retrieval-Augmented Generation). Su aplicación abre perspectivas alarmantes para los hackers: la IA obtiene acceso directo a la base de documentos robados, lo que permite automatizar la búsqueda y sistematización de datos valiosos en enormes volúmenes de información.
Además, en el arsenal de Kimsuky se han observado frameworks para crear agentes de IA, software de conversión de voz a texto (STT) y el editor de código con IA Cursor. Al parecer, este conjunto de herramientas está diseñado para resolver tres tareas clave: automatizar la escritura de malware, análisis inteligente de inteligencia y automatización parcial de los propios ataques.
Es revelador que el grupo ya haya utilizado IA para generar documentos financieros y de criptomonedas falsos como señuelos, imitando informes de inversión. Esto confirma: los hackers norcoreanos, que en 2025, según estimaciones de la industria, robaron más de $2.02 mil millones en criptomonedas, apuntan a automatizar y aumentar la eficiencia de sus operaciones.
Por ahora, los investigadores no han encontrado rastros de entrenamiento de sus propios modelos de IA, lo que indica una fase de acumulación de datos y estudio de la tecnología. Sin embargo, dos riesgos clave ya son evidentes: RAG permite extraer datos de documentos robados, y los sistemas STT convierten grabaciones de audio interceptadas en texto fácilmente buscable.
Mi veredicto: no estamos observando simplemente otra mejora táctica, sino un cambio fundamental en las capacidades operativas de uno de los grupos APT más peligrosos del mundo. La industria de la ciberseguridad, y especialmente los exchanges de criptomonedas, deberían prepararse para ataques donde la ingeniería social y el análisis de datos se perfeccionen con IA.