Le Kimsuky de la Corée du Nord se tourne vers l'IA alors que les entreprises de crypto-monnaie font face à de nouvelles menaces
Kimsuky a mis en place des environnements d'IA locaux alors qu'il cherche des moyens d'intégrer l'intelligence artificielle dans ses opérations de cyberattaque. L'acteur de menace lié à la Corée du Nord, qui a fréquemment ciblé les secteurs de la cryptomonnaie et des finances, a été trouvé en train d'établir des environnements LLM locaux en utilisant Ollama, GPT4All et Msty.
Genians a déclaré que l'approche locale empêche les données de conversation d'être transmises à des services d'IA externes, réduisant ainsi le risque d'exposition externe.
IA ajoutée au manuel d'attaque crypto
Selon le rapport, l'activité a montré que le groupe construisait des capacités pour intégrer l'intelligence artificielle dans ses attaques. Dans GPT4All, les enquêteurs ont détecté une base de données liée à sa fonctionnalité LocalDocs. La société de cybersécurité a déclaré que les preuves indiquent que l'acteur de menace a peut-être tenté de connecter des documents en sa possession à un système d'IA et de les utiliser comme source de connaissances.
Le groupe a également collecté des bibliothèques et des frameworks pouvant intégrer l'intelligence artificielle dans des logiciels. Ceux-ci comprenaient LLaMaSharp, Microsoft Semantic Kernel et Microsoft Agents AI. Les composants couvraient l'exécution locale de l'IA, la récupération de documents, des agents automatisés et l'intégration avec des services d'IA externes.
L'enquête a également trouvé des fichiers liés à Whisper et faster-whisper, des outils de conversion de la parole en texte. Genians a déclaré que de tels outils pourraient être abusés pour traiter et analyser du matériel volé ou collecté à partir de systèmes compromis.
La société a ajouté en outre,
« Cela fournit des preuves concrètes que l'acteur menaçant affilié aux Kimsuky va au-delà d'une expérimentation ponctuelle avec l'IA et se prépare continuellement à intégrer la technologie dans des capacités d'attaque réelles, y compris le développement de logiciels malveillants, l'analyse de données et l'avancement des techniques d'attaque. »
Corée du Nord, Hackers et l'industrie de la crypto
En prenant du recul, les attaquants liés à la Corée du Nord étaient responsables de plus de la moitié des cryptomonnaies volées au cours du premier semestre 2026, selon les récentes conclusions de Blockaid. La société a déclaré que les attaquants liés à la RPDC avaient volé environ 609 millions de dollars pendant cette période, représentant environ 55 % des 1,1 milliard de dollars perdus lors de 212 incidents.
Les attaques de KelpDAO et de Drift Protocol étaient liées à TraderTraitor, un groupe parrainé par l'État nord-coréen associé à Lazarus. Les deux attaques représentaient la majorité des pertes liées à la RPDC. Humanity Protocol a également perdu 32 millions de dollars lors d'une attaque liée au même groupe. Les conclusions soulignent le rôle continu de la Corée du Nord dans certains des plus grands vols de crypto de 2026.
Ces opérateurs ont également cherché à obtenir un accès de l'intérieur de l'industrie. Le célèbre enquêteur blockchain ZachXBT avait précédemment rapporté que des travailleurs informatiques nord-coréens avaient généré plus de 3,5 millions de dollars en crypto grâce à de fausses identités de développeurs et à un système de paiement coordonné. L'opération a été révélée après qu'un hacker a compromis l'appareil d'un travailleur et exposé des dossiers liés à près de 390 comptes.
Les données divulguées ont montré que l'opération rapportait environ 1 million de dollars par mois. Les travailleurs utilisaient de fausses identités et des documents falsifiés pour obtenir des emplois sur différents projets. Leurs paiements étaient suivis via une plateforme interne, où les travailleurs déclaraient leurs revenus et les administrateurs géraient les transferts. Les enregistrements de l'appareil compromis ont également montré l'utilisation de VPN et de multiples identités fabriquées. Les journaux de discussion ont révélé que des dizaines de travailleurs étaient actifs dans le même système.
Source : CryptoPotato