IA al servicio de Pionyang: el grupo Kimsuky domina los modelos generativos para ciberataques
El grupo de hackers norcoreano Kimsuky, que opera bajo el paraguas de la Dirección General de Reconocimiento de la RPDC, ha alcanzado un nuevo nivel de preparación técnica. Mi análisis muestra que los atacantes están experimentando activamente con herramientas locales de inteligencia artificial, buscando integrarlas en sus cadenas de ataque. Esto ya no son solo intentos aislados, sino un trabajo sistemático para modernizar su potencial cibernético.
IA local: la apuesta por la discreción
Durante la investigación de la infraestructura de Kimsuky, se han encontrado rastros del despliegue y configuración de varios marcos para la ejecución local de modelos de IA, incluidos Ollama, GPT4All y Msty. Este enfoque no es casual: procesar los datos en el lugar, sin recurrir a servicios en la nube, permite minimizar el riesgo de fuga de información confidencial, incluidos los datos robados, y reduce la probabilidad de detección a través de artefactos de red.
Además, en el arsenal del grupo se han registrado herramientas para implementar la tecnología de generación aumentada por recuperación (RAG), que brinda a los modelos acceso a documentos seleccionados, así como marcos de agentes de IA, software de reconocimiento de voz e incluso Cursor, un editor de código con soporte de IA. Es evidente que este conjunto no está destinado al entretenimiento: cubre el ciclo completo, desde el desarrollo de malware hasta la automatización de ataques y el análisis de datos.
De los señuelos criptográficos a la automatización total
Anteriormente, Kimsuky ya había utilizado IA para crear documentos financieros y criptográficos falsos que imitaban informes de inversión. Ahora, al parecer, la apuesta es por una integración más profunda. La tecnología RAG permite extraer datos útiles de archivos robados, y los sistemas de reconocimiento de voz convierten las grabaciones de audio interceptadas en texto fácilmente buscable.
Es importante destacar que esto ocurre en un contexto de impresionantes resultados financieros de los hackers norcoreanos. Según estimaciones del sector, solo en 2025, los grupos vinculados a la RPDC robaron alrededor de $2.02 mil millones en criptomonedas. La IA se está convirtiendo para ellos no solo en una herramienta, sino en un multiplicador de fuerza.
Es revelador que los investigadores no hayan encontrado rastros de entrenamiento de modelos propios, lo que indica una fase de acumulación de conocimiento y pruebas. Sin embargo, esto es solo cuestión de tiempo. La integración de la IA en los ciberataques no es el futuro, ya es el presente. El mercado de criptomonedas y todos aquellos que trabajan con activos digitales deberían tomar esta amenaza con la máxima seriedad: el próximo phishing podría ser indistinguible de un correo real, y el hackeo, completamente automatizado.