Kimsuky ha allestito ambienti locali di intelligenza artificiale mentre cerca modi per integrare l'intelligenza artificiale nelle sue operazioni di attacco informatico. L'attore minaccioso legato alla Corea del Nord, che ha frequentemente preso di mira i settori delle criptovalute e finanziario, è stato trovato aver stabilito ambienti LLM locali utilizzando Ollama, GPT4All e Msty.
Genians ha dichiarato che l'approccio locale impedisce la trasmissione dei dati delle conversazioni ai servizi di intelligenza artificiale esterni, riducendo così il rischio di esposizione esterna.
AI Aggiunta al Playbook degli Attacchi Crypto
Secondo il rapporto, l'attività ha mostrato che il gruppo stava costruendo capacità per integrare l'intelligenza artificiale nei suoi attacchi. In GPT4All, gli investigatori hanno rilevato un database collegato alla sua funzione LocalDocs. La società di cybersecurity ha affermato che le prove indicano che l'attore minaccioso potrebbe aver tentato di collegare documenti in suo possesso a un sistema di intelligenza artificiale e usarli come fonte di conoscenza.
Il gruppo ha anche raccolto librerie e framework che possono integrare l'intelligenza artificiale nel software. Questi includevano LLaMaSharp, Microsoft Semantic Kernel e Microsoft Agents AI. I componenti coprivano l'esecuzione locale di AI, il recupero di documenti, agenti automatizzati e integrazione con servizi di intelligenza artificiale esterni.
L'indagine ha anche trovato file relativi a Whisper e faster-whisper, strumenti di riconoscimento vocale. Genians ha affermato che tali strumenti potrebbero essere abusati per elaborare e analizzare materiale rubato o raccolto da sistemi compromessi.
L'azienda ha ulteriormente aggiunto,
“Questo fornisce prove concrete che l'attore minaccioso affiliato ai Kimsuky sta andando oltre la sperimentazione occasionale con l'IA e si sta preparando continuamente a integrare la tecnologia in capacità di attacco reali, inclusi lo sviluppo di malware, l'analisi dei dati e il miglioramento delle tecniche di attacco.”
Corea del Nord, Hacker e l'Industria Cripto
Allargando lo sguardo, gli attaccanti legati alla Corea del Nord sono stati responsabili di oltre la metà delle criptovalute rubate nella prima metà del 2026, secondo le recenti scoperte di Blockaid. L'azienda ha dichiarato che gli attaccanti legati alla DPRK hanno rubato circa 609 milioni di dollari durante il periodo, costituendo circa il 55% del miliardo e 100 milioni di dollari persi in 212 incidenti.
Gli attacchi a KelpDAO e Drift Protocol sono stati collegati a TraderTraitor, un gruppo sponsorizzato dallo stato nordcoreano associato a Lazarus. I due attacchi hanno rappresentato la maggior parte delle perdite legate alla DPRK. Humanity Protocol ha anche perso 32 milioni di dollari in un attacco legato allo stesso gruppo. Le scoperte evidenziano il continuo ruolo della Corea del Nord in alcuni dei più grandi furti di criptovalute del 2026.
Questi operatori hanno anche cercato accesso dall'interno dell'industria. Il noto investigatore blockchain ZachXBT aveva precedentemente riportato che i lavoratori IT nordcoreani avevano generato oltre 3,5 milioni di dollari in cripto attraverso identità di sviluppatori false e un sistema di pagamento coordinato. L'operazione è venuta alla luce dopo che un hacker ha compromesso il dispositivo di un lavoratore ed esposto registri legati a quasi 390 account.
I dati trapelati hanno mostrato che l'operazione generava circa 1 milione di dollari al mese. I lavoratori utilizzavano identità false e documenti contraffatti per ottenere lavori su diversi progetti. I loro pagamenti venivano tracciati attraverso una piattaforma interna, dove i lavoratori riportavano il loro reddito e gli amministratori gestivano i trasferimenti. I registri del dispositivo compromesso mostrano anche l'uso di VPN e molteplici persone fabricate. I log delle chat rivelavano che dozzine di lavoratori erano attivi nello stesso sistema.
Fonte: CryptoPotato
