تقرير: شركة «كيمسوكي» الكورية الشمالية تحول الذكاء الاصطناعي إلى سلاح لاختراق العملات المشفرة

في تحليل نُشر يوم الاثنين، ذكر مركز Genians للأمن أن أشهرًا من تتبع البنية التحتية المرتبطة بـ «كيمسوكي» كشفت عن أدلة على وجود نماذج لغوية محلية ضخمة، وأطر عمل لتطوير الذكاء الاصطناعي، وأدوات التعرف على الكلام، ووثائق تم إنشاؤها بواسطة الذكاء الاصطناعي التوليدي. ويقيّم الباحثون أن المجموعة تعمل تحت إشراف «مكتب الاستطلاع العام» الكوري الشمالي.

Kimsuky تنشئ مختبر الذكاء الاصطناعي الخاص بها

تتجاوز النتائج مجرد الأدلة التي تشير إلى أن المخترقين كانوا يطلبون المساعدة من روبوت الدردشة من حين لآخر. اكتشف الباحثون آثارًا لثلاث منصات محلية للذكاء الاصطناعي، وهي Ollama و GPT4All و Msty، مثبتة في البنية التحتية المرتبطة بالجهة المهددة. يمكن تشغيل النماذج المحلية مباشرةً على جهاز كمبيوتر أو خادم بدلاً من إرسال المحادثات إلى مزود خارجي، مما يمنح المشغل خصوصية أكبر.

كما عثرت Genians على أدلة تشير إلى أنه تم تكوين ميزة LocalDocs الخاصة بـ GPT4All. تستخدم هذه الميزة تقنية «التوليد المعزز بالاسترجاع» (RAG)، والتي تسمح لنظام الذكاء الاصطناعي بالبحث في مجموعة من المستندات قبل الإجابة على الأسئلة. وحذر الباحثون من أن هذه القدرة قد تجعل في نهاية المطاف من السهل على المتسللين البحث في كميات ضخمة من الوثائق المسروقة وتحليلها. ويأتي تقرير Genians في أعقاب استغلال ثغرة Coldcard والمعركة القانونية المتصاعدة التي تخوضها Bybit ضد كوريا الشمالية.

ويبدو أن المجموعة تستكشف أيضًا مجال الأتمتة. فقد عثر المحققون على حزم تطوير الذكاء الاصطناعي، بما في ذلك Microsoft Semantic Kernel وMicrosoft Agents AI وLLaMaSharp، إلى جانب مكونات لربط البرامج بخدمات OpenAI وAzure OpenAI. وقال الباحثون إن هذا المزيج يشير إلى تطوير أدوات متخصصة مدعومة بالذكاء الاصطناعي بدلاً من مجرد تجارب عشوائية.

الذكاء الاصطناعي يجعل طُعم التصيد الاحتيالي لـ «Kimsuky» أصعب في الكشف

وربما تكون بعض هذه التجارب قد بدأت بالفعل في التأثير على الهجمات. فمنذ عام 2026، لاحظ الباحثون أن Kimsuky تستخدم مستندات يُعتقد أنها تم إنشاؤها باستخدام الذكاء الاصطناعي التوليدي كطُعم في حملات التصيد الموجهة التي تستهدف مجالات تشمل الأصول الافتراضية، والاستثمارات المالية، وتطوير الألعاب.

وهذا أمر مهم لأن المستندات المصقولة التي تم إنشاؤها بواسطة الذكاء الاصطناعي يمكن أن تزيل بعض العلامات التحذيرية التي كان المستخدمون يعتمدون عليها في السابق للتعرف على التصيد الاحتيالي. فالترجمات غير السليمة والأخطاء الإملائية والتنسيق غير الدقيق تصبح أدلة أقل فائدة عندما يتمكن الذكاء الاصطناعي التوليدي من إنتاج مواد عمل ذات مظهر احترافي بسرعة.

ومع ذلك، تظل الهجمات الأساسية مألوفة. يتلقى الضحايا أرشيفات ZIP تحتوي على ملفات اختصارات Windows الخبيثة، أو ملفات LNK، متخفية في شكل مستندات شرعية. ويمكن أن يؤدي فتح أحد هذه الملفات إلى تشغيل أوامر PowerShell مخفية أثناء عرض ملف PDF يبدو حقيقيًا، مما يجعل الضحية غير مدرك أن نشاطًا خبيثًا يجري في الخلفية.

كما استغلت مجموعة Kimsuky مستودعات Git كبنية أساسية للقيادة والتحكم. وقد عثرت شركة Genians على حمولات AsyncRAT الخبيثة مشفرة ومتنكرة في شكل ملفات صور تحمل أسماء مثل "apple.png" و"fox.png" و"wolf.png". AsyncRAT هو برنامج ضار للوصول عن بُعد يمكنه منح المهاجم السيطرة على الجهاز المخترق.

الباحثون يعثرون على أدلة تشير إلى كوريا الشمالية في السجلات

كما كشف المحققون عن أدلة تربط هذه الأنشطة بمشغلين كوريين شماليين. احتوت السجلات على اسم الشركة المصنعة للنظام «Arirang»، وهي علامة تجارية مرتبطة بالأجهزة اللوحية والهواتف الذكية الكورية الشمالية، إلى جانب مواد باللغة الكورية وأنماط لغوية حددها الباحثون على أنها سمة مميزة للاستخدام الكوري الشمالي.

وفي حالة أخرى، أظهرت السجلات سؤالاً باللغة الكورية حول تعطيل ميزة الإبلاغ في Microsoft Defender، تم ترجمته إلى الإنجليزية عبر Google Translate ثم إرساله إلى ChatGPT. كما عثر الباحثون على عمليات بحث متعلقة بالأصول الافتراضية، بما في ذلك استفسار يسأل عن أماكن تواجد مستخدمي البيتكوين.

لم يصل التقرير إلى حد القول بأن «كيمسوكي» قد طورت نماذج الذكاء الاصطناعي الخاصة بها. فلم يعثر الباحثون على أي مجموعات بيانات تدريب كبيرة أو أدلة على وجود نماذج تم تدريبها بشكل مستقل. وبدلاً من ذلك، وصفوا المجموعة بأنها لا تزال تتعلم كيفية دمج أنظمة الذكاء الاصطناعي الحالية في تطوير البرمجيات الخبيثة، وتحليل البيانات، وعمليات الهجوم الأوسع نطاقاً.

قد لا يظل هذا التمييز مطمئنًا لفترة طويلة. حذرت شركة Genians من أن الجمع بين تقنية RAG والوثائق المسروقة، وأدوات تحويل الكلام إلى نص مع التسجيلات المعترضة، وعملاء الذكاء الاصطناعي مع بيئة تطوير البرامج الضارة الحالية لدى Kimsuky قد يقلل من العمل البشري المطلوب بعد حدوث اختراق. بالنسبة للمتخصصين في الدفاع، قد تتركز المعركة التالية بشكل متزايد على كشف ما تفعله البرامج الضارة بدلاً من الحكم على ما إذا كانت الرسالة الإلكترونية التي نقلتها تبدو مشبوهة أم لا.

في جميع أنحاء منظومة العملات المشفرة، تثير عمليات الاختراق والاستغلال شكوكاً متزايدة بأن الذكاء الاصطناعي ساعد المهاجمين على تنفيذها.