Kimsuky og deres AI-miljøer
En hackinggruppe med forbindelser til Nordkorea, kendt som Kimsuky, har opbygget tre lokale AI-miljøer som en del af deres forberedelser til cyberangreb rettet mod kryptovaluta- og finansvirksomheder, ifølge ny forskning inden for cybersikkerhed. Genians, et sydkoreansk cybersikkerhedsfirma, offentliggjorde mandag en rapport, der præsenterer beviser for, at Kimsuky opererede lokale store sprogmodelmiljøer gennem Ollama, GPT4All og Msty.
Fordele ved lokale AI-modeller
Dette gav gruppen adgang til AI-værktøjer, der kan køre uden afhængighed af eksterne cloud-tjenester. At køre modeller lokalt gør det muligt for operatører at stille forespørgsler uden at sende potentielt følsomme angrebsoplysninger til tredjeparts AI-udbydere. Ifølge forskningen understøtter miljøerne også retrieval-augmented generation, som kan forbinde en AI-model med yderligere information leveret af dens operatør.
Indsamling af AI-værktøjer
Ud over de tre miljøer fandt forskerne biblioteker og rammer, der kan indlejre sprogmodeller i tilpasset software. Kimsuky havde også indsamlet AI-kodeassistenten Cursor og tale-til-tekst-værktøjer, mens den samlede AI-infrastruktur blev opbygget. I stedet for at udvikle nye AI-modeller var aktiviteten, som Genians undersøgte, centreret om at anvende eksisterende open-source teknologi til malwareudvikling, dataanalyse og angrebsautomatisering.
Generativ AI og phishing
Kimsuky har også fortsat med at bruge generativ AI til at forberede phishing-materiale med fokus på kryptovaluta, investeringsstrategier og fintech-tjenester. Forskere identificerede polerede dokumenter, der tæt kopierede materiale forbundet med en koreansk AI-drevet investeringsplatform. Filene brugte naturligt sprog, ensartet formatering og professionelle designelementer, som cybersikkerhedsfirmaet forbinder med AI-genereret indhold.
“Sådant materiale giver en anden anvendelse for gruppens AI-infrastruktur ud over kodning og databehandling.”
Nordkoreanske operationer og angreb
Fundene placerer Kimsuky blandt en række Nordkorea-forbundne operationer, der bruger nyere tekniske og social engineering-metoder mod kryptovalutaindustrien. I juli rapporterede cybersikkerhedsfirmaet JUMPSEC, at BlueNoroff, en anden Nordkorea-forbundet gruppe, opererede falske Zoom- og Microsoft Teams-møder, der profilerede kryptovaluta-brugere, før malware blev leveret.
Indtrængen i kryptovirksomheder
Nordkoreanske operationer har også søgt adgang fra indersiden af kryptovirksomheder i stedet for kun at stole på phishing eller malware. I juli stoppede Consensys midlertidigt produktudgivelser efter at have opdaget, at en konsulent med forbindelser til Nordkorea havde fået adgang til sine systemer i cirka en måned.
Konsekvenser af angrebene
Udviklingen af AI-assisteret angrebsinfrastruktur kommer efter, at nordkoreanske hackinggrupper har stjålet anslået 2,02 milliarder dollars i kryptovaluta i 2025. De fleste af årets tab kom fra angrebet i februar 2025 mod Bybit, hvor mere end 400.000 Ether og staked Ether til en værdi af cirka 1,5 milliarder dollars blev stjålet.
Fremtidige trusler
Forskere har også advaret om, at AI kan reducere den tid, angribere har brug for til at identificere svagheder i software. NEAR Protocol medstifter Illia Polosukhin har sagt, at AI øger hackeres evne til hurtigere at finde sårbarheder end konventionelle sikkerhedsprocesser kan lappe dem.
Den seneste Genians-forskning viser Kimsuky forberede lokale AI-modeller til malwareudvikling, dataanalyse og angrebsautomatisering.
