Introduzione
Il gruppo di hacking legato alla Corea del Nord, Kimsuky, ha sviluppato tre ambienti di intelligenza artificiale (AI) locali come parte dei preparativi per attacchi informatici mirati a aziende di criptovalute e finanziarie, secondo una nuova ricerca nel campo della cybersicurezza.
Scoperte di Genians
Genians, una società sudcoreana specializzata in cybersicurezza, ha pubblicato un rapporto lunedì in cui afferma di aver trovato prove che Kimsuky opera ambienti locali di modelli linguistici di grandi dimensioni attraverso strumenti come Ollama, GPT4All e Msty. Questi ambienti forniscono al gruppo accesso a strumenti AI che possono funzionare senza fare affidamento su servizi cloud esterni.
L’esecuzione di modelli localmente consente agli operatori di effettuare query senza inviare potenzialmente informazioni sensibili sugli attacchi a fornitori di AI di terze parti. Secondo la ricerca, gli ambienti supportano anche la generazione aumentata da recupero, che può collegare un modello AI con informazioni aggiuntive fornite dal suo operatore.
Utilizzo della tecnologia open-source
Oltre ai tre ambienti, i ricercatori hanno trovato librerie e framework in grado di incorporare modelli linguistici in software personalizzati. Kimsuky ha anche raccolto l’assistente alla codifica AI Cursor e strumenti di riconoscimento vocale per assemblare la sua infrastruttura AI. Piuttosto che sviluppare nuovi modelli AI, l’attività esaminata da Genians si è concentrata sull’utilizzo della tecnologia open-source esistente per lo sviluppo di malware, l’analisi dei dati e l’automazione degli attacchi.
Attività di phishing e ingegneria sociale
Kimsuky ha continuato a utilizzare AI generativa per preparare materiale di phishing incentrato su criptovalute, strategie di investimento e servizi fintech. I ricercatori hanno identificato documenti rifiniti che copiavano da vicino materiale associato a una piattaforma di investimento alimentata da AI coreana. Tali materiali forniscono un ulteriore utilizzo per l’infrastruttura AI del gruppo, oltre alla codifica e all’elaborazione dei dati.
Invece di fare affidamento solo su email di phishing mal scritte, gli operatori possono utilizzare strumenti generativi per preparare documenti progettati attorno a temi finanziari rilevanti per i loro obiettivi.
Operazioni di BlueNoroff
I risultati collocano Kimsuky all’interno di una serie di operazioni legate alla Corea del Nord che utilizzano metodi tecnici e di ingegneria sociale più recenti contro l’industria delle criptovalute. A luglio, la società di cybersicurezza JUMPSEC ha riportato che BlueNoroff, un altro gruppo legato alla Corea del Nord, stava operando riunioni false su Zoom e Microsoft Teams per profilare gli utenti di criptovalute prima della consegna del malware.
Accesso interno e furti di criptovalute
Le operazioni nordcoreane hanno anche cercato accesso dall’interno delle aziende di criptovalute, piuttosto che fare affidamento esclusivamente su phishing o malware. A luglio, Consensys ha temporaneamente interrotto il rilascio di prodotti dopo aver scoperto che un consulente legato alla Corea del Nord aveva ottenuto accesso ai suoi sistemi per circa un mese.
La ricerca separata del Ketman Project ha identificato circa 100 sospetti lavoratori IT nordcoreani che operano sotto false identità in 53 progetti di criptovalute e Web3. Gli investigatori hanno anche rintracciato gruppi sospetti in 11 repository di codice.
Conclusioni
Lo sviluppo di un’infrastruttura di attacco assistita da AI arriva dopo che i gruppi di hacking nordcoreani hanno rubato un valore stimato di 2,02 miliardi di dollari in criptovalute durante il 2025. La maggior parte delle perdite dell’anno è derivata dall’attacco di febbraio 2025 contro Bybit, dove sono stati rubati oltre 400.000 Ether.
I ricercatori hanno avvertito che l’AI potrebbe ridurre il tempo necessario agli attaccanti per identificare le vulnerabilità nel software, aumentando la capacità degli hacker di individuare vulnerabilità più rapidamente di quanto i processi di sicurezza convenzionali possano correggerle.
