Introduction
Le groupe de hackers lié à la Corée du Nord, Kimsuky, a mis en place trois environnements d’IA locaux dans le cadre de ses préparatifs pour des cyberattaques ciblant des entreprises de cryptomonnaie et des institutions financières, selon de nouvelles recherches en cybersécurité.
Environnements d’IA et Outils Utilisés
Genians, une entreprise sud-coréenne spécialisée dans la cybersécurité, a déclaré dans un rapport publié lundi avoir trouvé des preuves que Kimsuky exploitait des modèles de langage local via Ollama, GPT4All et Msty. Cela permet au groupe d’accéder à des outils d’IA fonctionnant sans dépendre de services cloud externes.
L’exécution de modèles localement permet aux opérateurs de formuler des requêtes sans envoyer d’informations d’attaque potentiellement sensibles à des fournisseurs d’IA tiers. Selon l’étude, ces environnements prennent également en charge la génération augmentée par récupération, qui connecte un modèle d’IA à des informations supplémentaires fournies par son opérateur.
Utilisation de l’IA pour les Cyberattaques
Kimsuky a également collecté l’assistant de codage IA Cursor et des outils de reconnaissance vocale pour assembler son infrastructure d’IA. Plutôt que de développer de nouveaux modèles d’IA, l’activité examinée par Genians se concentrait sur l’utilisation de technologies open-source existantes pour le développement de logiciels malveillants, l’analyse de données et l’automatisation des attaques.
Les chercheurs ont identifié des documents soigneusement élaborés qui copiaient étroitement du matériel associé à une plateforme d’investissement alimentée par l’IA coréenne. Ces fichiers utilisaient un langage naturel, un formatage cohérent et des éléments de design professionnel que l’entreprise de cybersécurité associait à du contenu généré par l’IA.
Opérations de Phishing et Techniques Avancées
Les opérations nord-coréennes ont également cherché un accès interne aux entreprises de cryptomonnaie, plutôt que de se fier uniquement au phishing ou aux logiciels malveillants.
En juillet, la société de cybersécurité JUMPSEC a rapporté que BlueNoroff, un autre groupe lié à la Corée du Nord, exploitait de fausses réunions Zoom et Microsoft Teams pour profiler les utilisateurs de cryptomonnaie avant de livrer des logiciels malveillants.
Les attaquants pouvaient alors décider de poursuivre l’intrusion en fonction des informations recueillies auprès de la cible. L’IA a également été utilisée dans l’opération de fausse réunion de BlueNoroff, combinant des photos de profil générées par l’IA avec des mouvements corporels capturés lors de réunions précédentes.
Conclusion
Les recherches montrent que Kimsuky prépare des modèles d’IA locaux pour le développement de logiciels malveillants, l’analyse de données et l’automatisation des attaques. L’IA pourrait réduire le temps nécessaire aux attaquants pour identifier les faiblesses dans les logiciels, augmentant ainsi leur capacité à localiser les vulnérabilités plus rapidement que les processus de sécurité conventionnels ne peuvent les corriger.
