Le groupe de piratage lié à la Corée du Nord, Kimsuky, a construit trois environnements d'IA locaux dans le cadre de préparatifs de cyberattaques ciblant les entreprises de cryptomonnaies et financières, selon de nouvelles recherches en cybersécurité.
Résumé
- Kimsuky a construit trois environnements d'IA locaux en utilisant Ollama, GPT4All et Msty.
- Le groupe lié à la Corée du Nord utilise l'IA pour le développement de logiciels malveillants, l'analyse de données et l'automatisation des attaques.
- Kimsuky a produit du matériel de phishing généré par IA ciblant les entreprises de cryptomonnaies, d'investissement et de fintech.
- Les pirates nord-coréens ont volé environ 2,02 milliards de dollars en cryptomonnaies en 2025.
Genians, une entreprise sud-coréenne de cybersécurité, a déclaré dans un rapport publié lundi qu'elle avait trouvé des preuves que Kimsuky exploitait des environnements locaux de grands modèles de langage via Ollama, GPT4All et Msty, donnant au groupe accès à des outils d'IA pouvant fonctionner sans dépendre de services cloud externes.
Kimsuky a construit des systèmes d'IA locaux pour des cyberattaques
Exécuter des modèles localement permet aux opérateurs de faire des requêtes sans envoyer d'informations potentiellement sensibles sur les attaques à des fournisseurs d'IA tiers. Selon la recherche, les environnements prennent également en charge la génération augmentée par récupération, qui peut connecter un modèle d'IA à des informations supplémentaires fournies par son opérateur.
En plus des trois environnements, les chercheurs ont trouvé des bibliothèques et des frameworks pouvant intégrer des modèles de langage dans des logiciels personnalisés. Kimsuky avait également collecté l'assistant de codage IA Cursor et des outils de reconnaissance vocale en assemblant son infrastructure d'IA.
Plutôt que de développer de nouveaux modèles d'IA, l'activité examinée par Genians se concentrait sur la mise en œuvre de technologies open source existantes pour le développement de logiciels malveillants, l'analyse de données et l'automatisation des attaques.
L'entreprise a évalué que l'activité avait dépassé les tests isolés car Kimsuky se préparait continuellement à intégrer l'IA dans les capacités d'attaque opérationnelles. Cependant, ses conclusions ne montraient pas que le groupe développait des modèles d'IA propriétaires à partir de zéro.
Garder les modèles sur une infrastructure locale pourrait également permettre aux pirates de travailler avec des informations sans les soumettre à des systèmes cloud externes, selon le rapport. La collecte de logiciels de support indique que les environnements d'IA font partie d'une configuration technique plus large plutôt que de fonctionner uniquement comme des outils de chat autonomes.
Des documents de phishing générés par IA ciblent les entreprises de cryptomonnaies
Kimsuky a également continué à utiliser l'IA générative pour préparer du matériel de phishing axé sur les cryptomonnaies, les stratégies d'investissement et les services fintech, selon Genians.
Les chercheurs ont identifié des documents soignés qui copiaient étroitement le matériel associé à une plateforme d'investissement coréenne alimentée par IA. Les fichiers utilisaient un langage naturel, un formatage cohérent et des éléments de conception professionnels que l'entreprise de cybersécurité associait à du contenu généré par IA.
Un tel matériel fournit une autre utilisation de l'infrastructure d'IA du groupe au-delà du codage et du traitement des données. Au lieu de se fier uniquement à des e-mails de phishing mal rédigés, les opérateurs peuvent utiliser des outils génératifs pour préparer des documents conçus autour de sujets financiers pertinents pour leurs cibles prévues.
Les conclusions ajoutent Kimsuky à une série d'opérations liées à la Corée du Nord utilisant des méthodes techniques et d'ingénierie sociale plus récentes contre l'industrie des cryptomonnaies.
En juillet, l'entreprise de cybersécurité JUMPSEC a rapporté que BlueNoroff, un autre groupe lié à la Corée du Nord, organisait de fausses réunions Zoom et Microsoft Teams qui profilaient les utilisateurs de cryptomonnaies avant la livraison de logiciels malveillants.
JUMPSEC a récupéré le code source d'un kit de phishing actif après que ses opérateurs aient accidentellement exposé des cartes source JavaScript. Le code contenait des fonctions de numérisation de portefeuilles, des contrôles d'opérateur et des voies de livraison de logiciels malveillants distinctes pour Windows et macOS.
Une fois qu'une cible entrait dans une page de réunion factice, le système vérifiait les connexions de portefeuilles Ethereum et les portefeuilles non-EVM, y compris les outils Solana, avant d'envoyer les résultats à un panneau d'opérateur. Les implants Windows pouvaient également identifier les extensions de navigateur sur Chrome, Edge, Brave, Opera, Vivaldi et les variantes de Firefox, permettant aux opérateurs de vérifier les portefeuilles tels que MetaMask.
Les attaquants pouvaient alors décider de continuer l'intrusion en fonction des informations recueillies auprès de la cible, a constaté JUMPSEC.
Les hackers nord-coréens combinent l'IA avec l'ingénierie sociale
L'IA est également apparue dans l'opération de fausse réunion de BlueNoroff, bien que dans un rôle différent de celui des modèles locaux identifiés dans la recherche de Kimsuky.
Selon JUMPSEC, les opérateurs ont combiné des portraits générés par IA avec des mouvements corporels issus de réunions précédentes pour créer des participants convaincants lors de fausses visioconférences. Les victimes pouvaient arriver via un compte Telegram appartenant à un contact réel dont le compte avait déjà été compromis, avant de recevoir une invitation Calendly qui les redirigeait vers un domaine de réunion factice.
Pendant l'appel, un opérateur pouvait afficher une vidéo préparée, envoyer des messages concernant un problème de microphone supposé et déclencher une fausse mise à jour du logiciel Zoom. Sur Windows, le processus ClickFix résultant utilisait PowerShell et VBScript, tandis que la voie macOS livrait un faux installateur de réunion accompagné d'un logiciel malveillant volant des informations.
Arctic Wolf avait précédemment identifié plus de 80 domaines imitant Zoom et Teams associés à des opérations connexes. Environ 80 % des cibles identifiées travaillaient dans la crypto, la finance blockchain ou des secteurs d'investissement connexes, tandis que les fondateurs et les directeurs généraux représentaient 45 % des cibles identifiées.
Les opérations nord-coréennes ont également cherché à obtenir un accès depuis l'intérieur des entreprises de crypto plutôt que de se fier uniquement au hameçonnage ou aux logiciels malveillants.
En juillet, Consensys a temporairement arrêté les versions de produits après avoir découvert qu'un consultant lié à la Corée du Nord avait eu accès à ses systèmes pendant environ un mois, selon Drop Site News.
Le consultant, qui opérait sous le nom de Tyler Knapp et utilisait le pseudo GitHub « imyugioh », a contribué au code de la plateforme principale de MetaMask, y compris des composants connectant les utilisateurs de crypto aux fournisseurs de paiement en monnaie fiduciaire tiers.
Le conseiller général de Consensys, Matt Corva, a déclaré qu'un fournisseur de services tiers avait présenté le consultant à l'entreprise. L'entreprise a mis fin à son accès après avoir identifié la menace et a déclaré que son enquête n'avait trouvé aucun actif ou donnée volé, aucun code malveillant ni impact sur la sécurité des utilisateurs.
Des recherches distinctes du Ketman Project ont identifié environ 100 travailleurs informatiques nord-coréens présumés opérant sous de fausses identités dans 53 projets de crypto et Web3. Les enquêteurs ont également retracé des groupes suspects dans 11 dépôts de code où les projets avaient déjà fusionné 62 demandes d'extraction avant que l'activité ne soit détectée.
La Corée du Nord a volé plus de 2 milliards de dollars en crypto en 2025
Le développement d'une infrastructure d'attaque assistée par IA survient après que des groupes de hackers nord-coréens ont volé environ 2,02 milliards de dollars en cryptomonnaie au cours de l'année 2025, selon les données de Chainalysis précédemment rapportées par crypto.news.
La plupart des pertes de l'année proviennent de l'attaque de février 2025 contre Bybit, où plus de 400 000 Ether et Ether mis en jeu d'une valeur d'environ 1,5 milliard de dollars ont été volés. Le FBI a attribué la violation à la Corée du Nord et a identifié les acteurs responsables sous sa désignation TraderTraitor.
Depuis, Bybit a porté le litige devant un tribunal fédéral américain. Le 8 août, la bourse a poursuivi la République populaire démocratique de Corée, son agence de renseignement du Bureau général de reconnaissance et le groupe Lazarus devant le tribunal de district des États-Unis pour le district de Columbia.
La bourse a également obtenu une injonction préliminaire couvrant certains actifs volés détenus par des défendeurs non identifiés. L'ordonnance empêche que les actifs identifiés soient transférés, vendus ou autrement aliénés pendant que l'affaire civile se poursuit, bien qu'elle ne constitue pas une décision finale sur la propriété ou la responsabilité.
Le traçage de la blockchain est devenu de plus en plus difficile après le vol de Bybit, car les attaquants ont converti les actifs en Bitcoin et dispersé les fonds dans des milliers de portefeuilles. En avril 2025, le PDG de Bybit, Ben Zhou, a déclaré que 27,6 % des fonds volés ne pouvaient plus être suivis.
Les chercheurs ont également averti que l'IA pourrait réduire le temps nécessaire aux attaquants pour identifier les faiblesses des logiciels. Le cofondateur du protocole NEAR, Illia Polosukhin, a déclaré que l'IA augmente la capacité des hackers à localiser les vulnérabilités plus rapidement que les processus de sécurité conventionnels ne peuvent les corriger.
L'exploitation de 100 millions de dollars du portefeuille matériel Bitcoin Coldcard a également été soupçonnée de provenir d'une vulnérabilité obscure découverte avec l'IA. Par ailleurs, les opérateurs nord-coréens continuent d'utiliser le hameçonnage, de faux travailleurs à distance et des identités en ligne compromises, tandis que les dernières recherches de Genians montrent que Kimsuky prépare des modèles d'IA locaux pour le développement de logiciels malveillants, l'analyse de données et l'automatisation des attaques.
