El Kimsuky de Corea del Norte se vuelve hacia la IA mientras las empresas de criptomonedas enfrentan nuevas amenazas
Kimsuky ha estado configurando entornos locales de IA mientras busca formas de incorporar inteligencia artificial en sus operaciones de ciberataque. El actor de amenaza vinculado a Corea del Norte, que ha atacado frecuentemente los sectores de criptomonedas y finanzas, fue encontrado estableciendo entornos locales de LLM utilizando Ollama, GPT4All y Msty.
Genians dijo que el enfoque local evita que los datos de conversación se transmitan a servicios de IA externos, reduciendo así el riesgo de exposición externa.
IA añadida al manual de ataques de criptomonedas
Según el informe, la actividad mostró que el grupo estaba construyendo capacidades para integrar inteligencia artificial en sus ataques. En GPT4All, los investigadores detectaron una base de datos vinculada a su función LocalDocs. La firma de ciberseguridad dijo que la evidencia indica que el actor de amenaza puede haber intentado conectar documentos en su posesión a un sistema de IA y usarlos como fuente de conocimiento.
El grupo también recopiló bibliotecas y marcos que pueden integrar inteligencia artificial en software. Estos incluían LLaMaSharp, Microsoft Semantic Kernel y Microsoft Agents AI. Los componentes cubrían la ejecución local de IA, recuperación de documentos, agentes automatizados e integración con servicios de IA externos.
La investigación también encontró archivos relacionados con Whisper y faster-whisper, herramientas de conversión de voz a texto. Genians dijo que tales herramientas podrían ser abusadas para procesar y analizar material robado o recopilado de sistemas comprometidos.
La empresa agregó además,
“Esto proporciona evidencia concreta de que el actor de amenaza afiliado a Kimsuky está yendo más allá de la experimentación ocasional con IA y se está preparando continuamente para integrar la tecnología en capacidades de ataque reales, incluyendo el desarrollo de malware, análisis de datos y el avance de técnicas de ataque.”
Corea del Norte, Hackers y la Industria Cripto
Ampliando la perspectiva, los atacantes vinculados a Corea del Norte fueron responsables de más de la mitad de la criptomoneda robada en la primera mitad de 2026, según los hallazgos recientes de Blockaid. La firma dijo que los atacantes vinculados a la RPDC robaron alrededor de $609 millones durante el período, representando aproximadamente el 55% de los $1.1 mil millones perdidos en 212 incidentes.
Los ataques a KelpDAO y Drift Protocol estaban vinculados a TraderTraitor, un grupo patrocinado por el estado norcoreano asociado con Lazarus. Los dos ataques representaron la mayor parte de las pérdidas vinculadas a la RPDC. Humanity Protocol también perdió $32 millones en un ataque relacionado con el mismo grupo. Los hallazgos destacan el papel continuo de Corea del Norte en algunos de los mayores robos de criptomonedas de 2026.
Estos operativos también han buscado acceso desde dentro de la industria. El destacado investigador de blockchain ZachXBT había informado anteriormente que los trabajadores de TI norcoreanos generaron más de $3.5 millones en cripto a través de identidades de desarrollador falsas y un sistema de pago coordinado. La operación salió a la luz después de que un hacker comprometiera el dispositivo de un trabajador y expusiera registros vinculados a casi 390 cuentas.
Los datos filtrados mostraron que la operación estaba generando alrededor de $1 millón al mes. Los trabajadores usaban identidades falsas y documentos falsificados para conseguir trabajos en diferentes proyectos. Sus pagos se rastreaban a través de una plataforma interna, donde los trabajadores reportaban sus ingresos y los administradores gestionaban las transferencias. Los registros del dispositivo comprometido también mostraron el uso de VPN y múltiples personas fabricadas. Los registros de chat revelaron que docenas de trabajadores estaban activos en el mismo sistema.
Fuente: CryptoPotato