รายงาน: คิมซูกีของเกาหลีเหนือเปลี่ยน AI ให้เป็นอาวุธสำหรับการแฮ็กคริปโต

ในการวิเคราะห์ที่เผยแพร่เมื่อวันจันทร์ Genians Security Center ระบุว่า การติดตามโครงสร้างพื้นฐานที่เกี่ยวข้องกับคิมซูกีเป็นเวลาหลายเดือน ได้พบหลักฐานของโมเดลภาษาขนาดใหญ่แบบโลคัล (LLM), เฟรมเวิร์กการพัฒนา AI, เครื่องมือรู้จำเสียง และเอกสารที่สร้างด้วย Generative AI นักวิจัยประเมินว่ากลุ่มนี้ปฏิบัติการภายใต้สังกัด Reconnaissance General Bureau ของเกาหลีเหนือ

คิมซูกีกำลังสร้างห้องแล็บ AI ส่วนตัวของตนเอง

ข้อค้นพบนี้ไปไกลกว่าหลักฐานที่ว่าแฮ็กเกอร์เพียงแค่ถามแชตบอตเป็นครั้งคราวเพื่อขอความช่วยเหลือ นักวิจัยพบร่องรอยของแพลตฟอร์ม AI แบบโลคัล 3 รายการ ได้แก่ Ollama, GPT4All และ Msty ที่ติดตั้งอยู่ในโครงสร้างพื้นฐานที่เชื่อมโยงกับผู้ก่อภัยคุกคาม โมเดลแบบโลคัลสามารถรันได้โดยตรงบนคอมพิวเตอร์หรือเซิร์ฟเวอร์แทนการส่งบทสนทนาไปยังผู้ให้บริการภายนอก ทำให้ผู้ปฏิบัติการมีความเป็นส่วนตัวมากขึ้น

Genians ยังพบหลักฐานว่ามีการกำหนดค่าใช้งานฟีเจอร์ LocalDocs ของ GPT4All ฟีเจอร์ดังกล่าวใช้เทคนิค retrieval-augmented generation หรือ RAG ซึ่งทำให้ระบบ AI สามารถค้นหาจากชุดเอกสารก่อนตอบคำถาม สำหรับแฮ็กเกอร์ นักวิจัยเตือนว่าความสามารถนี้อาจทำให้กองเอกสารที่ขโมยมาจำนวนมากค้นหาและวิเคราะห์ได้ง่ายขึ้นในท้ายที่สุด รายงานของ Genians ออกมาไล่เลี่ยกับเหตุการณ์ช่องโหว่ Coldcard และ การต่อสู้ทางกฎหมายที่ทวีความรุนแรงของ Bybit กับเกาหลีเหนือ.

กลุ่มนี้ยังดูเหมือนกำลังสำรวจเรื่องระบบอัตโนมัติด้วยเช่นกัน ผู้สืบสวนพบแพ็กเกจสำหรับพัฒนา AI รวมถึง Microsoft Semantic Kernel, Microsoft Agents AI และ LLaMaSharp ควบคู่กับคอมโพเนนต์สำหรับเชื่อมต่อโปรแกรมเข้ากับบริการ OpenAI และ Azure OpenAI นักวิจัยระบุว่าการผสมผสานดังกล่าวชี้ไปสู่การพัฒนาเครื่องมือเฉพาะทางที่ขับเคลื่อนด้วย AI มากกว่าการทดลองแบบเล่นๆ

AI ทำให้เหยื่อล่อฟิชชิงของคิมซูกีจับสังเกตได้ยากขึ้น

การทดลองบางส่วนอาจเริ่มส่งผลต่อการโจมตีแล้ว ตั้งแต่ปี 2026 นักวิจัยสังเกตเห็นคิมซูกีใช้เอกสารที่ประเมินว่าสร้างด้วย Generative AI เป็นเหยื่อล่อ (decoy) ในแคมเปญสเปียร์ฟิชชิง โดยมุ่งเป้าไปยังหัวข้ออย่างสินทรัพย์เสมือน การลงทุนทางการเงิน และการพัฒนาเกม

นี่สำคัญเพราะเอกสารที่สร้างด้วย AI ที่ดูเนี้ยบสามารถตัดสัญญาณเตือนบางอย่างที่ผู้ใช้เคยอาศัยเพื่อสังเกตฟิชชิงได้ การแปลที่กระอักกระอ่วน การสะกดผิด และรูปแบบที่ลวกๆ จะกลายเป็นเบาะแสที่ใช้ได้ลดลง เมื่อ Generative AI สามารถผลิตเอกสารธุรกิจที่ดูเป็นมืออาชีพได้อย่างรวดเร็ว

อย่างไรก็ตาม แกนของการโจมตียังเหมือนเดิม เหยื่อจะได้รับไฟล์ ZIP ที่ภายในมีไฟล์ทางลัดของ Windows หรือไฟล์ LNK ที่ปลอมตัวเป็นเอกสารถูกต้องตามกฎหมาย การเปิดไฟล์หนึ่งไฟล์สามารถเรียกใช้คำสั่ง PowerShell ที่ซ่อนอยู่ไปพร้อมกับแสดง PDF ที่ดูเหมือนจริง ทำให้เหยื่อไม่รู้ว่ามีกิจกรรมอันตรายกำลังทำงานอยู่เบื้องหลัง

คิมซูกียังเคยใช้ในทางที่ผิด รีโป Git เป็นโครงสร้างพื้นฐานสำหรับสั่งการและควบคุม (C2). Genians พบเพย์โหลด AsyncRAT ที่เป็นอันตรายถูกเข้ารหัสและปลอมเป็นไฟล์รูปภาพ ด้วยชื่ออย่าง “apple.png,” “fox.png” และ “wolf.png” AsyncRAT เป็นมัลแวร์แบบเข้าถึงระยะไกลที่สามารถทำให้ผู้โจมตีควบคุมเครื่องที่ถูกเจาะได้

นักวิจัยพบเบาะแสเกาหลีเหนือในล็อก

ผู้สืบสวนยังพบหลักฐานที่เชื่อมโยงกิจกรรมนี้กับผู้ปฏิบัติการจากเกาหลีเหนือ โดยล็อกมีชื่อผู้ผลิตระบบ “Arirang” ซึ่งเป็นแบรนด์ที่เชื่อมโยงกับแท็บเล็ตและสมาร์ตโฟนของเกาหลีเหนือ รวมทั้งสื่อภาษาเกาหลีและรูปแบบภาษาที่นักวิจัยระบุว่าเป็นลักษณะเฉพาะของการใช้งานแบบเกาหลีเหนือ

ในอีกกรณีหนึ่ง ล็อกแสดงคำถามภาษาเกาหลีเกี่ยวกับการปิดฟีเจอร์การรายงานของ Microsoft Defender ซึ่งถูกแปลเป็นภาษาอังกฤษผ่าน Google Translate และ จากนั้นส่งเข้าไปยัง ChatGPT. นักวิจัยยังพบการค้นหาที่เกี่ยวข้องกับสินทรัพย์เสมือน รวมถึงคำค้นที่ถามว่าสามารถพบผู้ใช้บิตคอยน์ได้ที่ใด

รายงานยังไม่ถึงขั้นสรุปว่าคิมซูกีได้สร้างโมเดล AI ของตนเอง นักวิจัยไม่พบชุดข้อมูลฝึกสอนขนาดใหญ่หรือหลักฐานของโมเดลที่ฝึกได้อย่างอิสระ แต่พวกเขาอธิบายว่าเป็นกลุ่มที่ยังอยู่ระหว่างเรียนรู้วิธีผสานระบบ AI ที่มีอยู่เข้ากับการพัฒนามัลแวร์ การวิเคราะห์ข้อมูล และปฏิบัติการโจมตีในภาพรวม

อย่างไรก็ดี ความแตกต่างนี้อาจไม่น่าชวนสบายใจไปอีกนาน Genians เตือนว่าการผสาน RAG เข้ากับเอกสารที่ขโมยมา เครื่องมือแปลงเสียงเป็นข้อความ (speech-to-text) เข้ากับเสียงบันทึกที่ดักจับได้ และเอเจนต์ AI เข้ากับสภาพแวดล้อมการพัฒนามัลแวร์ที่คิมซูกีมีอยู่ อาจลดงานที่ต้องใช้มนุษย์หลังการเจาะระบบลงได้ สำหรับฝ่ายป้องกัน การต่อสู้ครั้งต่อไปอาจยิ่งมุ่งไปที่การตรวจจับ “สิ่งที่มัลแวร์ทำ” มากกว่าการตัดสินว่าอีเมลที่ส่งมัลแวร์มานั้นดูน่าสงสัยหรือไม่

ทั่วทั้งระบบนิเวศคริปโต การแฮ็กและการฉวยโอกาสจากช่องโหว่กำลังถูกสงสัยมากขึ้นเรื่อยๆ ว่า AI มีส่วนช่วยให้ผู้โจมตีลงมือได้สำเร็จ.