Группировка Kimsuky, действующая под управлением Разведывательного управления КНДР, наращивает использование искусственного интеллекта в своих операциях. В её инфраструктуре присутствуют следы запуска локальных больших языковых моделей (LLM) и специализированных инструментов для работы с документами. Эти находки свидетельствуют о том, что хакеры готовятся применять ИИ для автоматизации атак и анализа украденных данных.
Описание
Традиционные методы Kimsuky никуда не делись: целевой фишинг, вредоносные вложения, ярлыки Windows и скрытые сценарии. Однако злоумышленники всё чаще используют документы, сгенерированные нейросетями. Они выглядят как настоящие деловые бумаги и содержат корректные формулировки, что повышает доверие жертвы. При этом злоумышленники рассылают письма от имени организаторов конференций, редакций журналов и юридических фирм. В ходу темы гонораров, приглашений и запросов на сотрудничество. Архивы с такими документами распространяются по тем же каналам, что и раньше, а для запуска вредоносного кода по-прежнему применяются ярлыки, маскирующиеся под файлы PDF.
Как отмечается в отчёте Genians Security Center, эта активность не является новой отдельной кампанией. Она продолжает линию операции FlowerPower, известной с 2023 года. Вместе с тем тактика обогатилась использованием репозиториев GitHub в качестве командных серверов. Через них хакеры распространяют зашифрованные полезные нагрузки и управляют заражёнными системами. Такая схема позволяет быстро менять вредоносное ПО, не перенастраивая всю инфраструктуру.
Внутри инфраструктуры группировки есть локальные версии ИИ-инструментов Ollama, GPT4All и Msty. Такие программы позволяют запускать нейросети без обращения к внешним облачным сервисам, снижая риск раскрытия. Кроме того, аналитики обнаружили следы применения технологии RAG, которая даёт модели доступ к конкретной коллекции документов. В сочетании с похищенными данными это открывает возможность автоматического поиска ценной информации в больших массивах утечек. Также в инфраструктуре хранятся пакеты для разработки ИИ-агентов и библиотеки для интеграции с облачными нейросетями. Это указывает на план по встраиванию ИИ в собственное вредоносное ПО. Вдобавок операторы сохраняли учебные материалы по машинному обучению и работе с языковыми моделями, что подтверждает систематическое освоение новых технологий.
Отдельное внимание привлекает использование Cursor - редактора кода со встроенным ИИ. В логах видно, как оператор редактировал файлы и проверял связь с GitHub. В частности, он открывал документы с описанием требований к атаке и просматривал сгенерированные PDF-файлы. Такое поведение говорит о том, что ИИ применяется не только для создания фишинговых писем, но и для разработки вредоносного ПО.
К этим уликам добавляются индикаторы атрибуции. В системе значится производитель Arirang, а в рабочих записях встречаются северокорейские варианты написания слов. Например, "싸이트" вместо южнокорейского "사이트", а также "리력" и "로출되였는지", что соответствует северокорейской лексике. Оператор использовал южнокорейскую раскладку клавиатуры и переводил свои запросы через онлайн-переводчик перед отправкой в ChatGPT. Это создаёт дополнительный цифровой след, позволяющий связывать активность с КНДР.
Целями Kimsuky остаются дипломатические миссии, военные ведомства и сфера виртуальных активов. В ходе одной из веток атаки хакеры замаскировали вредоносные файлы под изображения, хотя на деле они являлись программами удалённого доступа. Распространение шло через публичные репозитории, что заметно затрудняет выявление таких угроз. В другом случае злоумышленники использовали документы, созданные с помощью генеративного ИИ, в том числе финансовые и инвестиционные материалы. Один из них имитировал материалы популярной южнокорейской платформы для инвестиций. Пользователям предлагали скачать файл, который на поверку оказывался ярлыком. Помимо этого, жертвами становятся исследовательские центры и академические учреждения, связанные с международной политикой.
Для защиты от новых атак недостаточно проверять содержание присланных документов. С помощью ИИ злоумышленники исправляют типичные ошибки перевода и форматирования, которые раньше выдавали фишинг. В связи с этим организациям следует усиливать поведенческий анализ конечных точек. Важно контролировать необычные цепочки запуска процессов, работу сценариев PowerShell и обращения к Git-сервисам. Также необходимо обращать внимание на создание скрытых задач в планировщике и фоновую загрузку файлов. Комплексный анализ этих действий позволяет выявлять атаки на ранней стадии.
Пока нет доказательств того, что Kimsuky обучает собственные ИИ-модели. Группировка сосредоточилась на интеграции готовых решений в свои инструменты. Однако последовательное накопление компонентов и учебных материалов указывает на долгосрочную подготовку. Наблюдаются также следы тестирования собственных инструментов в изолированной среде, что говорит о серьёзном подходе к разработке. Вместе с тем даже самое качественное ИИ-содержание не может скрыть действия вредоносного кода на конечном устройстве. Поэтому поведенческая защита становится необходимым условием для раннего обнаружения атак, независимо от уровня подделки документов.
Индикаторы компрометации
