Reportage : « Kimsuky », un programme nord-coréen, transforme l'IA en arme de piratage de cryptomonnaies

Dans une analyse publiée lundi, le Genians Security Center a déclaré que plusieurs mois de suivi de l’infrastructure associée à Kimsuky ont permis de mettre au jour des preuves de l’existence de grands modèles linguistiques locaux, de frameworks de développement d’IA, d’outils de reconnaissance vocale et de documents générés par l’IA. Les chercheurs estiment que le groupe opère sous l’égide du Bureau général de reconnaissance nord-coréen.

Kimsuky met en place son propre laboratoire d’IA privé

Ces découvertes vont au-delà des simples preuves indiquant que les pirates demandaient parfois de l’aide à un chatbot. Les chercheurs ont découvert des traces de trois plateformes d’IA locales — Ollama, GPT4All et Msty — installées dans l’infrastructure liée à cet acteur malveillant. Les modèles locaux peuvent fonctionner directement sur un ordinateur ou un serveur, sans avoir à envoyer les conversations à un fournisseur externe, ce qui garantit une plus grande confidentialité à l’opérateur.

Genians a également trouvé des preuves indiquant que la fonctionnalité LocalDocs de GPT4All avait été configurée. Cette fonctionnalité utilise la génération augmentée par la recherche (RAG), qui permet à un système d’IA d’effectuer des recherches dans un ensemble de documents avant de répondre à des questions. Les chercheurs ont averti que, pour les pirates informatiques, cette capacité pourrait à terme faciliter la recherche et l’analyse de vastes quantités de documents volés. Le rapport de Genians fait suite à l’exploit Coldcard et à l’escalade de la bataille juridique opposant Bybit à la Corée du Nord.

Le groupe semble également explorer les possibilités d’automatisation. Les enquêteurs ont découvert des kits de développement d’IA, notamment Microsoft Semantic Kernel, Microsoft Agents AI et LLaMaSharp, ainsi que des composants permettant de connecter des programmes aux services OpenAI et Azure OpenAI. Selon les chercheurs, cette combinaison suggère le développement d’outils spécialisés basés sur l’IA plutôt qu’une simple expérimentation.

L’IA rend les leurres de phishing de Kimsuky plus difficiles à repérer

Certaines de ces expérimentations pourraient déjà influencer les attaques. Depuis 2026, les chercheurs ont observé que Kimsuky utilisait des documents, jugés comme ayant été créés à l’aide d’une IA générative, comme leurres dans des campagnes de spear phishing ciblant des domaines tels que les actifs virtuels, l’investissement financier et le développement de jeux vidéo.

Cela a son importance, car des documents soignés générés par l’IA peuvent faire disparaître certains des signes avant-coureurs sur lesquels les utilisateurs comptaient autrefois pour reconnaître le hameçonnage. Les traductions maladroites, les fautes d’orthographe et la mise en page négligée deviennent des indices moins utiles lorsque l’IA générative est capable de produire rapidement des documents professionnels d’aspect soigné. L’attaque sous-jacente reste toutefois familière. Les victimes reçoivent des archives ZIP contenant des fichiers de raccourcis Windows malveillants, ou fichiers LNK, déguisés en documents légitimes. L’ouverture d’un de ces fichiers peut déclencher des commandes PowerShell cachées tout en affichant un PDF d’apparence authentique, sans que la victime ne se rende compte qu’une activité malveillante s’exécute en arrière-plan. Kimsuky a également détourné des dépôts Git pour en faire une infrastructure de commande et de contrôle. Les chercheurs de Genians ont découvert des charges utiles malveillantes d’AsyncRAT chiffrées et dissimulées dans des fichiers image portant des noms tels que « apple.png », « fox.png » et « wolf.png ». AsyncRAT est un logiciel malveillant d’accès à distance qui permet à un attaquant de prendre le contrôle d’une machine compromise.

Les chercheurs trouvent des indices nord-coréens dans les journaux

Les enquêteurs ont également mis au jour des preuves reliant cette activité à des opérateurs nord-coréens. Les journaux contenaient le nom du fabricant du système « Arirang », une marque associée aux tablettes et smartphones nord-coréens, ainsi que des documents en coréen et des schémas linguistiques que les chercheurs ont identifiés comme caractéristiques de l’usage nord-coréen.

Dans un autre cas, les journaux ont révélé qu’une question en coréen concernant la désactivation de la fonctionnalité de rapport de Microsoft Defender avait été traduite en anglais via Google Translate, puis soumise à ChatGPT. Les chercheurs ont également trouvé des recherches liées aux actifs virtuels, notamment une requête demandant où l’on pouvait trouver des utilisateurs de bitcoins.

Le rapport s’abstient toutefois d’affirmer que Kimsuky a développé ses propres modèles d’IA. Les chercheurs n’ont trouvé aucun ensemble de données d’entraînement volumineux ni aucune preuve de modèles entraînés de manière indépendante. Ils décrivent plutôt un groupe qui en est encore à apprendre à intégrer des systèmes d’IA existants dans le développement de logiciels malveillants, l’analyse de données et des opérations d’attaque plus larges.

Cette distinction pourrait ne plus être rassurante très longtemps. Genians a averti que la combinaison de la technologie RAG avec des documents volés, d’outils de reconnaissance vocale avec des enregistrements interceptés et d’agents IA avec l’environnement de développement de logiciels malveillants existant de Kimsuky pourrait réduire le travail humain nécessaire après une intrusion. Pour les défenseurs, la prochaine bataille pourrait de plus en plus porter sur la détection des actions menées par les logiciels malveillants plutôt que sur l’évaluation du caractère suspect de l’e-mail qui les a véhiculés. Dans l’ensemble de l’écosystème de la cryptomonnaie, les piratages et les exploits suscitent de plus en plus de soupçons quant à l’utilisation de l’IA par les attaquants pour les mener à bien.