Kimsuky tem configurado ambientes locais de IA enquanto busca maneiras de trazer inteligência artificial para suas operações de ciberataque. O ator de ameaça vinculado à Coreia do Norte, que frequentemente mira os setores de criptomoedas e financeiro, foi encontrado estabelecendo ambientes locais de LLM usando Ollama, GPT4All e Msty.
A Genians disse que a abordagem local impede que dados de conversação sejam transmitidos para serviços de IA externos, reduzindo assim o risco de exposição externa.
IA Adicionada ao Playbook de Ataques de Cripto
De acordo com o relatório, a atividade mostrou que o grupo estava construindo capacidades para integrar inteligência artificial em seus ataques. No GPT4All, os investigadores detectaram um banco de dados vinculado ao recurso LocalDocs. A empresa de cibersegurança disse que as evidências indicam que o ator de ameaça pode ter tentado conectar documentos em sua posse a um sistema de IA e usá-los como fonte de conhecimento.
O grupo também coletou bibliotecas e frameworks que podem integrar inteligência artificial em software. Isso incluiu LLaMaSharp, Microsoft Semantic Kernel e Microsoft Agents AI. Os componentes cobriram execução local de IA, recuperação de documentos, agentes automatizados e integração com serviços de IA externos.
A investigação também encontrou arquivos relacionados ao Whisper e faster-whisper, ferramentas de conversão de fala em texto. A Genians disse que tais ferramentas poderiam ser abusadas para processar e analisar material roubado ou coletado de sistemas comprometidos.
A empresa acrescentou ainda,
“Isso fornece evidências concretas de que o ator de ameaça afiliado aos Kimsuky está indo além de experimentações pontuais com IA e está continuamente se preparando para integrar a tecnologia em capacidades de ataque reais, incluindo desenvolvimento de malware, análise de dados e o avanço de técnicas de ataque.”
Coreia do Norte, Hackers e a Indústria de Criptomoedas
Ampliando a visão, os atacantes vinculados à Coreia do Norte foram responsáveis por mais da metade das criptomoedas roubadas no primeiro semestre de 2026, de acordo com as descobertas recentes da Blockaid. A empresa disse que os atacantes vinculados ao DPRK roubaram cerca de $609 milhões durante o período, representando aproximadamente 55% dos $1,1 bilhão perdidos em 212 incidentes.
Os ataques ao KelpDAO e ao Drift Protocol foram vinculados ao TraderTraitor, um grupo patrocinado pelo estado norte-coreano associado ao Lazarus. Os dois ataques representaram a maior parte das perdas vinculadas ao DPRK. O Humanity Protocol também perdeu $32 milhões em um ataque ligado ao mesmo grupo. As descobertas destacam o papel contínuo da Coreia do Norte em alguns dos maiores roubos de criptomoedas de 2026.
Esses operativos também buscaram acesso de dentro da indústria. O proeminente investigador de blockchain ZachXBT havia relatado anteriormente que trabalhadores de TI norte-coreanos geraram mais de $3,5 milhões em criptomoedas através de identidades de desenvolvedores falsas e um sistema de pagamento coordenado. A operação veio à tona depois que um hacker comprometeu o dispositivo de um trabalhador e expôs registros ligados a quase 390 contas.
Os dados vazados mostraram que a operação estava gerando cerca de $1 milhão por mês. Os trabalhadores usavam identidades falsas e documentos falsificados para garantir empregos em diferentes projetos. Seus pagamentos eram rastreados por meio de uma plataforma interna, onde os trabalhadores reportavam sua renda e os administradores gerenciavam as transferências. Registros do dispositivo comprometido também mostraram o uso de VPNs e múltiplas personas fabricadas. Registros de chat revelaram que dezenas de trabalhadores estavam ativos no mesmo sistema.
Fonte: CryptoPotato
