Notizia: Kimsuky, dalla Corea del Nord, trasforma l’intelligenza artificiale in un’arma per hackerare le criptovalute

In un’analisi pubblicata lunedì, il Genians Security Center ha dichiarato che mesi di monitoraggio delle infrastrutture associate a Kimsuky hanno portato alla luce prove dell’esistenza di modelli linguistici locali di grandi dimensioni, framework di sviluppo dell’IA, strumenti di riconoscimento vocale e documenti generativi creati dall’IA. I ricercatori ritengono che il gruppo operi sotto l’egida dell’Ufficio Generale di Ricognizione della Corea del Nord.

Kimsuky crea il proprio laboratorio privato di IA

I risultati vanno oltre le prove che gli hacker chiedessero occasionalmente aiuto a un chatbot. I ricercatori hanno scoperto tracce di tre piattaforme di IA locali — Ollama, GPT4All e Msty — installate nell’infrastruttura collegata all’attore della minaccia. I modelli locali possono essere eseguiti direttamente su un computer o un server invece di inviare le conversazioni a un provider esterno, garantendo all’operatore una maggiore privacy.

Genians ha inoltre trovato prove che la funzione LocalDocs di GPT4All fosse stata configurata. La funzione utilizza la generazione potenziata dal recupero (Retrieval-Augmented Generation, o RAG), che consente a un sistema di IA di effettuare ricerche in una raccolta di documenti prima di rispondere alle domande. Per gli hacker, hanno avvertito i ricercatori, tale capacità potrebbe alla fine rendere più facile la ricerca e l’analisi di grandi quantità di documenti rubati. Il rapporto di Genians arriva sulla scia dell’exploit Coldcard e dell’escalation della battaglia legale di Bybit contro la Corea del Nord.

Il gruppo sembra esplorare anche l’automazione. Gli investigatori hanno individuato pacchetti di sviluppo per l’IA, tra cui Microsoft Semantic Kernel, Microsoft Agents AI e LLaMaSharp, oltre a componenti per collegare i programmi ai servizi OpenAI e Azure OpenAI. Secondo i ricercatori, questa combinazione indica lo sviluppo di strumenti specializzati basati sull’IA piuttosto che una semplice sperimentazione.

L’IA rende più difficili da individuare le esche di phishing di Kimsuky

Parte di questa sperimentazione potrebbe già influenzare gli attacchi. Dal 2026, i ricercatori hanno osservato che Kimsuky utilizza documenti che si ritiene siano stati creati con l’IA generativa come esche in campagne di spear phishing mirate a settori quali gli asset virtuali, gli investimenti finanziari e lo sviluppo di videogiochi.

Questo è importante perché documenti ben rifiniti generati dall’IA possono eliminare alcuni dei segnali di allarme su cui gli utenti facevano affidamento in passato per riconoscere il phishing. Traduzioni goffe, errori ortografici e formattazione approssimativa diventano indizi meno utili quando l’IA generativa è in grado di produrre rapidamente materiali aziendali dall’aspetto professionale. L’attacco di fondo, tuttavia, rimane familiare. Le vittime ricevono archivi ZIP contenenti file di collegamento di Windows (LNK) dannosi, camuffati da documenti legittimi. L’apertura di uno di questi file può attivare comandi PowerShell nascosti mentre viene visualizzato un PDF dall’aspetto autentico, impedendo alla vittima di rendersi conto che in background è in esecuzione un’attività dannosa. Kimsuky ha inoltre sfruttato i repository Git come infrastruttura di comando e controllo. Genians ha individuato payload dannosi di AsyncRAT crittografati e camuffati da file immagine con nomi quali "apple.png", "fox.png" e "wolf.png". AsyncRAT è un malware di accesso remoto in grado di fornire a un aggressore il controllo su un computer compromesso.

I ricercatori trovano indizi nordcoreani nei log

Gli investigatori hanno inoltre scoperto prove che collegano l’attività a operatori nordcoreani. I log contenevano il nome del produttore del sistema “Arirang”, un marchio associato a tablet e smartphone nordcoreani, insieme a materiali in lingua coreana e modelli linguistici che i ricercatori hanno identificato come caratteristici dell’uso nordcoreano.

In un altro caso, i log hanno mostrato una domanda in lingua coreana su come disabilitare la funzione di segnalazione di Microsoft Defender, tradotta in inglese tramite Google Translate e poi inviata a ChatGPT. I ricercatori hanno inoltre trovato ricerche relative alle risorse virtuali, inclusa una query che chiedeva dove si potessero trovare gli utenti di bitcoin.

Il rapporto non arriva ad affermare che Kimsuky abbia sviluppato modelli di IA propri. I ricercatori non hanno trovato grandi set di dati di addestramento né prove di modelli addestrati in modo indipendente. Descrivono invece un gruppo che sta ancora imparando a integrare i sistemi di IA esistenti nello sviluppo di malware, nell’analisi dei dati e in operazioni di attacco più ampie.

Tale distinzione potrebbe non rimanere rassicurante a lungo. Genians ha avvertito che la combinazione di RAG con documenti rubati, strumenti di sintesi vocale con registrazioni intercettate e agenti di IA con l’ambiente di sviluppo del malware esistente di Kimsuky potrebbe ridurre il lavoro umano richiesto dopo una violazione. Per i difensori, la prossima battaglia potrebbe concentrarsi sempre più sull’individuazione di ciò che fa il malware piuttosto che sul valutare se l’e-mail che lo ha veicolato appaia sospetta. In tutto l’ecosistema delle criptovalute, gli attacchi hacker e gli exploit stanno suscitando sempre più il sospetto che l’IA abbia aiutato gli aggressori a portarli a termine.