Северокорейская группировка Kimsuky научилась использовать искусственный интеллект в своих атаках на криптовалютные компании. Вместо использования облачных сервисов нейросетей хакеры развернули локальные окружения, работая с инструментами Ollama, GPT4All и Msty. Такой подход исключает утечку данных через интернет и скрывает следы злоумышленников.
ИИ в арсенале киберпреступников
Kimsuky подготавливает технологическую базу, чтобы встроить искусственный интеллект прямо в процесс атак. Киберконспиративисты обнаружили в системе GPT4All базу данных, связанную с функцией LocalDocs. Это указывает на то, что хакеры пытались связать имеющиеся у них украденные документы с нейросетью и использовать их как источник знаний.
Группировка собрала библиотеки и фреймворки для интеграции ИИ в программное обеспечение: LLaMaSharp, Microsoft Semantic Kernel и Microsoft Agents AI. Эти компоненты позволяют запускать нейросети локально, извлекать информацию из документов, создавать автоматизированные агенты и подключаться к внешним ИИ-сервисам.
Аналитики также нашли файлы инструментов Whisper и faster-whisper — технологий для преобразования речи в текст. Такие инструменты могут использоваться для обработки и анализа материалов, украденных с взломанных систем.
«Это конкретное свидетельство того, что связанная с Kimsuky группа переходит от экспериментов с ИИ к системной подготовке внедрения этой технологии в реальные атаки, включая разработку вредоноса, анализ данных и совершенствование методов атак».
Северокорейцы доминируют в крипто-кражах
По данным Blockaid, в первой половине 2026 года на долю северокорейских хакеров пришлось более половины всех украденных криптовалют. Они похитили около 609 миллионов долларов из 1,1 миллиарда долларов, потерянных в 212 инцидентах.
Самые крупные кражи — атаки на KelpDAO и Drift Protocol, а также взлом Humanity Protocol (32 миллиона долларов) — были совершены группировкой TraderTraitor, связанной с государственной структурой КНДР и легендарной группой Lazarus.
Северокорейцы проникают в криптоиндустрию и изнутри. Расследователь ZachXBT обнаружил сеть из почти 390 северокорейских IT-работников, которые выдавали себя за разработчиков и зарабатывали криптовалюту через поддельные профили. Операция приносила примерно один миллион долларов в месяц. Рабочие использовали поддельные документы, чтобы устроиться на проекты, регистрировали заработки в общей системе учёта, маскировались под разными личностями и действовали через VPN.