Nordkoreas Kimsuky wendet sich der KI zu, während Krypto-Firmen neuen Bedrohungen gegenüberstehen

Kimsuky hat lokale KI-Umgebungen eingerichtet, während es nach Möglichkeiten sucht, künstliche Intelligenz in seine Cyberangriffsoperationen zu integrieren. Der mit Nordkorea verbundene Bedrohungsakteur, der häufig die Kryptowährungs- und Finanzsektoren ins Visier nimmt, wurde dabei entdeckt, lokale LLM-Umgebungen mit Ollama, GPT4All und Msty eingerichtet zu haben.

Genians sagte, dass der lokale Ansatz verhindert, dass Gesprächsdaten an externe KI-Dienste übertragen werden, wodurch das Risiko einer externen Exposition verringert wird.

KI zum Crypto-Angriffs-Playbook hinzugefügt

Laut dem Bericht zeigte die Aktivität, dass die Gruppe Fähigkeiten aufbaute, um künstliche Intelligenz in ihre Angriffe zu integrieren. In GPT4All entdeckten die Ermittler eine Datenbank, die mit der LocalDocs-Funktion verknüpft war. Das Cybersicherheitsunternehmen sagte, die Beweise deuten darauf hin, dass der Bedrohungsakteur möglicherweise versucht hat, Dokumente in seinem Besitz mit einem KI-System zu verbinden und sie als Wissensquelle zu nutzen.

Die Gruppe sammelte auch Bibliotheken und Frameworks, die künstliche Intelligenz in Software integrieren können. Dazu gehörten LLaMaSharp, Microsoft Semantic Kernel und Microsoft Agents AI. Die Komponenten umfassten die lokale KI-Ausführung, Dokumentenabruf, automatisierte Agenten und die Integration mit externen KI-Diensten.

Die Untersuchung fand auch Dateien, die mit Whisper und faster-whisper, Sprach-zu-Text-Tools, in Verbindung standen. Genians sagte, dass solche Tools missbraucht werden könnten, um Material zu verarbeiten und zu analysieren, das von kompromittierten Systemen gestohlen oder gesammelt wurde.

Das Unternehmen fügte weiter hinzu,

„Dies liefert konkrete Beweise dafür, dass der mit Kimsuky verbundene Bedrohungsakteur über einmalige Experimente mit KI hinausgeht und kontinuierlich darauf vorbereitet ist, die Technologie in tatsächliche Angriffsfähigkeiten zu integrieren, einschließlich Malware-Entwicklung, Datenanalyse und der Weiterentwicklung von Angriffstechniken.“

Nordkorea, Hacker und die Krypto-Industrie

Zoomt man heraus, waren nordkorea-verbundene Angreifer laut den jüngsten Erkenntnissen von Blockaid für mehr als die Hälfte der im ersten Halbjahr 2026 gestohlenen Kryptowährung verantwortlich. Das Unternehmen berichtete, dass DPRK-verbundene Angreifer in diesem Zeitraum etwa 609 Millionen Dollar gestohlen haben, was ungefähr 55 % der insgesamt 1,1 Milliarden Dollar aus 212 Vorfällen ausmacht.

Die Angriffe auf KelpDAO und Drift Protocol wurden mit TraderTraitor in Verbindung gebracht, einer nordkoreanischen staatlich geförderten Gruppe, die mit Lazarus assoziiert ist. Die beiden Angriffe machten den Großteil der DPRK-verbundenen Verluste aus. Humanity Protocol verlor ebenfalls 32 Millionen Dollar bei einem Angriff, der mit derselben Gruppe in Verbindung steht. Die Erkenntnisse heben die fortdauernde Rolle Nordkoreas bei einigen der größten Krypto-Diebstähle von 2026 hervor.

Diese Operativen haben auch versucht, Zugang von innen zur Branche zu erhalten. Der prominente Blockchain-Ermittler ZachXBT hatte zuvor berichtet, dass nordkoreanische IT-Arbeiter über gefälschte Entwickleridentitäten und ein koordiniertes Zahlungssystem mehr als 3,5 Millionen Dollar in Krypto generiert haben. Die Operation kam ans Licht, nachdem ein Hacker das Gerät eines Arbeitnehmers kompromittiert und Aufzeichnungen zu fast 390 Konten offengelegt hatte.

Die geleakten Daten zeigten, dass die Operation etwa 1 Million Dollar pro Monat einbrachte. Die Arbeiter verwendeten falsche Identitäten und gefälschte Dokumente, um Jobs in verschiedenen Projekten zu sichern. Ihre Zahlungen wurden über eine interne Plattform verfolgt, auf der die Arbeiter ihr Einkommen meldeten und die Administratoren die Überweisungen verwalteten. Aufzeichnungen vom kompromittierten Gerät zeigten auch die Nutzung von VPNs und mehreren gefälschten Personas. Chat-Protokolle enthüllten, dass Dutzende von Arbeitern im selben System aktiv waren.

Quelle: CryptoPotato