O grupo de hackers ligado à Coreia do Norte, Kimsuky, construiu três ambientes locais de IA como parte dos preparativos para ataques cibernéticos direcionados a empresas de criptomoedas e financeiras, de acordo com uma nova pesquisa de segurança cibernética.
Resumo
- Kimsuky construiu três ambientes locais de IA usando Ollama, GPT4All e Msty.
- O grupo ligado à Coreia do Norte está usando IA para desenvolvimento de malware, análise de dados e automação de ataques.
- Kimsuky produziu material de phishing gerado por IA direcionado a empresas de cripto, investimento e fintech.
- Hackers norte-coreanos roubaram cerca de US$ 2,02 bilhões em criptomoedas durante 2025.
A Genians, uma empresa sul-coreana de segurança cibernética, disse em um relatório divulgado na segunda-feira que encontrou evidências de que a Kimsuky opera ambientes locais de modelos de linguagem de grande porte por meio de Ollama, GPT4All e Msty, dando ao grupo acesso a ferramentas de IA que podem funcionar sem depender de serviços de nuvem externos.
Kimsuky construiu sistemas locais de IA para ataques cibernéticos
Executar modelos localmente permite que os operadores façam consultas sem enviar informações potencialmente sensíveis de ataque a provedores de IA terceirizados. De acordo com a pesquisa, os ambientes também suportam geração aumentada por recuperação, que pode conectar um modelo de IA a informações adicionais fornecidas pelo seu operador.
Junto com os três ambientes, os pesquisadores encontraram bibliotecas e estruturas que podem incorporar modelos de linguagem em software personalizado. A Kimsuky também coletou o assistente de codificação de IA Cursor e ferramentas de conversão de fala em texto enquanto montava sua infraestrutura de IA.
Em vez de desenvolver novos modelos de IA, a atividade examinada pela Genians concentrou-se em colocar a tecnologia de código aberto existente para funcionar no desenvolvimento de malware, análise de dados e automação de ataques.
A empresa avaliou que a atividade havia ido além de testes isolados porque a Kimsuky estava continuamente se preparando para incorporar IA às capacidades operacionais de ataque. No entanto, suas descobertas não mostraram que o grupo estava desenvolvendo modelos proprietários de IA do zero.
Manter os modelos na infraestrutura local também pode permitir que os hackers trabalhem com informações sem submetê-las a sistemas de nuvem externos, de acordo com o relatório. A coleção de software de suporte indica que os ambientes de IA fazem parte de uma configuração técnica maior, em vez de funcionar apenas como ferramentas de bate-papo autônomas.
Documentos de phishing gerados por IA visam empresas de cripto
A Kimsuky também continuou usando IA generativa para preparar material de phishing focado em criptomoedas, estratégias de investimento e serviços fintech, de acordo com a Genians.
Os pesquisadores identificaram documentos polidos que copiavam de perto material associado a uma plataforma de investimento coreana alimentada por IA. Os arquivos usavam linguagem natural, formatação consistente e elementos de design profissional que a empresa de segurança cibernética associou a conteúdo gerado por IA.
Tal material fornece outro uso para a infraestrutura de IA do grupo além de codificação e processamento de dados. Em vez de depender apenas de e-mails de phishing mal escritos, os operadores podem usar ferramentas generativas para preparar documentos projetados em torno de assuntos financeiros relevantes para seus alvos pretendidos.
As descobertas adicionam a Kimsuky a uma série de operações ligadas à Coreia do Norte que usam métodos mais novos de engenharia técnica e social contra a indústria de criptomoedas.
Em julho, a empresa de segurança cibernética JUMPSEC relatou que a BlueNoroff, outro grupo ligado à Coreia do Norte, estava operando reuniões falsas do Zoom e do Microsoft Teams que traçavam o perfil de usuários de criptomoedas antes da entrega do malware.
A JUMPSEC recuperou o código-fonte de um kit de phishing ativo depois que seus operadores expuseram acidentalmente os mapas de origem do JavaScript. O código continha funções de varredura de carteiras, controles do operador e rotas separadas de entrega de malware para Windows e macOS.
Uma vez que um alvo entrava em uma página de reunião falsa, o sistema verificava conexões de carteira Ethereum e carteiras não-EVM, incluindo ferramentas Solana, antes de enviar os resultados a um painel do operador. Os implantes para Windows também podiam identificar extensões de navegador em variantes do Chrome, Edge, Brave, Opera, Vivaldi e Firefox, permitindo que os operadores verificassem carteiras como a MetaMask.
Os atacantes podiam então decidir se continuariam a intrusão com base nas informações coletadas do alvo, descobriu a JUMPSEC.
Hackers norte-coreanos estão combinando IA com engenharia social
A IA também apareceu na operação de reunião falsa da BlueNoroff, embora em um papel diferente dos modelos locais identificados na pesquisa da Kimsuky.
De acordo com a JUMPSEC, os operadores combinaram fotos de rosto geradas por IA com movimentos corporais retirados de reuniões anteriores para criar participantes convincentes para chamadas de vídeo falsas. As vítimas podiam chegar por meio de uma conta do Telegram pertencente a um contato real cuja conta já havia sido comprometida, antes de receber um convite do Calendly que as redirecionava para um domínio de reunião falso.
Durante a chamada, um operador podia exibir um vídeo preparado, enviar mensagens sobre um suposto problema de microfone e acionar uma falsa atualização de software do Zoom. No Windows, o processo ClickFix resultante usava PowerShell e VBScript, enquanto no macOS a rota entregava um instalador de reunião falso junto com malware de roubo de informações.
A Arctic Wolf havia identificado anteriormente mais de 80 domínios falsos do Zoom e Teams associados a operações relacionadas. Cerca de 80% dos alvos identificados trabalhavam em cripto, finanças blockchain ou setores de investimento conectados, enquanto fundadores e executivos-chefes representavam 45% dos alvos identificados.
As operações norte-coreanas também buscaram acesso de dentro de empresas de cripto, em vez de depender apenas de phishing ou malware.
Em julho, a Consensys interrompeu temporariamente os lançamentos de produtos depois de descobrir que um consultor ligado à Coreia do Norte teve acesso aos seus sistemas por aproximadamente um mês, de acordo com o Drop Site News.
O consultor, que operava sob o nome Tyler Knapp e usava o identificador do GitHub “imyugioh”, contribuiu para o código central da plataforma MetaMask, incluindo componentes que conectam usuários de criptomoedas a provedores de pagamento fiduciário de terceiros.
O conselheiro geral da Consensys, Matt Corva, disse que um provedor de serviços terceirizado apresentou o consultor à empresa. A empresa encerrou seu acesso após identificar a ameaça e disse que sua investigação não encontrou ativos ou dados roubados, código malicioso ou impacto na segurança do usuário.
Pesquisas separadas do Ketman Project identificaram cerca de 100 trabalhadores de TI norte-coreanos suspeitos operando sob identidades falsas em 53 projetos de cripto e Web3. Os investigadores também rastrearam grupos suspeitos em 11 repositórios de código onde os projetos já haviam mesclado 62 pull requests antes de a atividade ser detectada.
Coreia do Norte roubou mais de US$ 2 bilhões em cripto em 2025
O desenvolvimento de infraestrutura de ataque assistida por IA vem depois que grupos de hackers norte-coreanos roubaram cerca de US$ 2,02 bilhões em criptomoedas durante 2025, de acordo com dados da Chainalysis relatados anteriormente pelo crypto.news.
A maior parte das perdas do ano veio do ataque de fevereiro de 2025 contra a Bybit, onde mais de 400.000 Ether e Ether em staking no valor de cerca de US$ 1,5 bilhão foram roubados. O FBI atribuiu a violação à Coreia do Norte e identificou os responsáveis sob sua designação TraderTraitor.
Desde então, a Bybit levou a disputa a um tribunal federal dos EUA. Em 8 de agosto, a exchange processou a República Popular Democrática da Coreia, sua agência de inteligência do Bureau Geral de Reconhecimento e o Grupo Lazarus no Tribunal Distrital dos EUA para o Distrito de Columbia.
A exchange também obteve uma liminar preliminar cobrindo certos ativos roubados detidos por réus não identificados. A ordem impede que os ativos identificados sejam transferidos, vendidos ou de outra forma alienados enquanto o caso civil prossegue, embora não constitua uma decisão final sobre propriedade ou responsabilidade.
O rastreamento de blockchain tornou-se cada vez mais difícil após o roubo da Bybit, pois os atacantes converteram ativos em Bitcoin e dispersaram fundos em milhares de carteiras. Em abril de 2025, o CEO da Bybit, Ben Zhou, disse que 27,6% dos fundos roubados não podiam mais ser rastreados.
Pesquisadores também alertaram que a IA pode reduzir o tempo que os atacantes precisam para identificar fraquezas no software. O cofundador da NEAR Protocol, Illia Polosukhin, disse que a IA está aumentando a capacidade dos hackers de localizar vulnerabilidades mais rápido do que os processos de segurança convencionais podem corrigi-las.
A exploração de US$ 100 milhões do hardware wallet Coldcard Bitcoin também foi suspeita de se originar de uma vulnerabilidade obscura descoberta com IA. Separadamente, operadores norte-coreanos continuam a usar phishing, trabalhadores remotos falsos e identidades online comprometidas, enquanto a pesquisa mais recente da Genians mostra Kimsuky preparando modelos locais de IA para desenvolvimento de malware, análise de dados e automação de ataques.
