Reportagem: Kimsuky, da Coreia do Norte, transforma IA em arma para ataques cibernéticos contra criptomoedas

Em uma análise publicada na segunda-feira, o Genians Security Center afirmou que meses de rastreamento da infraestrutura associada ao Kimsuky revelaram evidências de grandes modelos de linguagem locais, estruturas de desenvolvimento de IA, ferramentas de reconhecimento de fala e documentos gerados por IA. Os pesquisadores avaliam que o grupo opera sob o comando do Departamento Geral de Reconhecimento da Coreia do Norte.

Kimsuky cria seu próprio laboratório privado de IA

As descobertas vão além das evidências de que os hackers ocasionalmente pediam ajuda a um chatbot. Os pesquisadores descobriram vestígios de três plataformas locais de IA — Ollama, GPT4All e Msty — instaladas na infraestrutura ligada ao agente de ameaças. Modelos locais podem ser executados diretamente em um computador ou servidor, em vez de enviar conversas a um provedor externo, proporcionando maior privacidade ao operador.

A Genians também encontrou evidências de que o recurso LocalDocs do GPT4All havia sido configurado. O recurso utiliza geração aumentada por recuperação (RAG), que permite que um sistema de IA pesquise uma coleção de documentos antes de responder a perguntas. Para os hackers, alertaram os pesquisadores, essa capacidade poderia, eventualmente, facilitar a pesquisa e a análise de grandes quantidades de documentos roubados. O relatório da Genians surge logo após a exploração do Coldcard e a escalada da batalha judicial da Bybit contra a Coreia do Norte.

O grupo parece estar explorando a automação também. Os investigadores encontraram pacotes de desenvolvimento de IA, incluindo o Microsoft Semantic Kernel, o Microsoft Agents AI e o LLaMaSharp, além de componentes para conectar programas aos serviços da OpenAI e do Azure OpenAI. Os pesquisadores afirmaram que essa combinação aponta para o desenvolvimento de ferramentas especializadas baseadas em IA, em vez de meras experiências casuais.

A IA torna as iscas de phishing do Kimsuky mais difíceis de detectar

Parte dessa experimentação pode já estar influenciando os ataques. Desde 2026, pesquisadores observaram que o Kimsuky vem utilizando documentos que, segundo avaliações, foram criados com IA generativa como iscas em campanhas de spear phishing voltadas para alvos que incluem ativos virtuais, investimentos financeiros e desenvolvimento de jogos.

Isso é importante porque documentos bem elaborados gerados por IA podem eliminar alguns dos sinais de alerta nos quais os usuários costumavam confiar para reconhecer o phishing. Traduções desajeitadas, erros ortográficos e formatação descuidada tornam-se pistas menos úteis quando a IA generativa consegue produzir rapidamente materiais comerciais com aparência profissional.

O ataque subjacente, no entanto, continua familiar. As vítimas recebem arquivos ZIP contendo atalhos maliciosos do Windows, ou arquivos LNK, disfarçados como documentos legítimos. Abrir um deles pode acionar comandos ocultos do PowerShell enquanto exibe um PDF com aparência realista, fazendo com que a vítima não perceba que uma atividade maliciosa está sendo executada em segundo plano.

O Kimsuky também tem usado indevidamente repositórios Git como infraestrutura de comando e controle. A Genians encontrou cargas maliciosas do AsyncRAT criptografadas e disfarçadas como arquivos de imagem com nomes como “apple.png”, “fox.png” e “wolf.png”. O AsyncRAT é um malware de acesso remoto capaz de dar ao invasor controle sobre uma máquina comprometida.

Pesquisadores encontram indícios norte-coreanos nos logs

Os investigadores também descobriram evidências que ligam a atividade a operadores norte-coreanos. Os registros continham o nome do fabricante do sistema “Arirang”, uma marca associada a tablets e smartphones norte-coreanos, juntamente com materiais em coreano e padrões linguísticos que os pesquisadores identificaram como característicos do uso norte-coreano.

Em outro caso, os registros mostraram uma pergunta em coreano sobre como desativar o recurso de relatórios do Microsoft Defender, traduzida para o inglês pelo Google Tradutor e, em seguida, enviada ao ChatGPT. Os pesquisadores também encontraram buscas relacionadas a ativos virtuais, incluindo uma consulta perguntando onde os usuários de bitcoin poderiam ser encontrados.

O relatório não chega a afirmar que o Kimsuky tenha desenvolvido seus próprios modelos de IA. Os pesquisadores não encontraram grandes conjuntos de dados de treinamento nem evidências de modelos treinados de forma independente. Em vez disso, eles descrevem um grupo que ainda está aprendendo a integrar sistemas de IA existentes ao desenvolvimento de malware, à análise de dados e a operações de ataque mais amplas.

Essa distinção pode não continuar sendo tranquilizadora por muito tempo. A Genians alertou que a combinação de RAG com documentos roubados, ferramentas de conversão de fala em texto com gravações interceptadas e agentes de IA com o ambiente de desenvolvimento de malware existente do Kimsuky poderia reduzir o trabalho humano necessário após uma violação. Para os defensores, a próxima batalha pode se concentrar cada vez mais em detectar o que o malware faz, em vez de julgar se o e-mail que o entregou parece suspeito.

Em todo o ecossistema de criptomoedas, hacks e explorações estão cada vez mais levantando suspeitas de que a IA ajudou os invasores a realizá-los.