Kimsuky Builds Offline AI Stack to Boost Phishing and Automate Malware Development

Évolution des capacités d’attaque du groupe Kimsuky : Vers une IA autonome

Le groupe de cyberespionnage nord-coréen Kimsuky a été identifié en train d’intégrer l’intelligence artificielle directement dans ses infrastructures opérationnelles. Plutôt que de s’appuyer sur des outils en ligne, le groupe déploie désormais des environnements IA hors ligne pour automatiser la rédaction de campagnes de phishing et le développement de logiciels malveillants.

Points clés :

• IA locale : Utilisation d’outils comme Ollama, GPT4All et Msty pour faire fonctionner des modèles de langage en local.
• RAG (Retrieval-Augmented Generation) : Configuration de bases de données locales pour permettre à l’IA d’analyser des documents confidentiels exfiltrés (identifiants, données bancaires).
• Automatisation du développement : Intégration de bibliothèques (Microsoft Semantic Kernel, LLaMaSharp) et d’éditeurs (Cursor) dans leurs workflows pour créer des logiciels malveillants personnalisés.
• Campagne associée : Poursuite de l’opération GitPower, utilisant GitHub comme canal de commande et de contrôle (C2) pour diffuser des payloads via des fichiers LNK et PowerShell.

Vulnérabilités : Il n’existe pas de vulnérabilité logicielle (CVE) spécifique à corriger dans ce cadre, car le groupe détourne des outils légitimes (IA, GitHub) pour ses attaques. La menace réside dans la capacité de l’attaquant à générer des leurres (phishing) d’une qualité professionnelle, rendant obsolètes les indicateurs de détection classiques (fautes d’orthographe, syntaxe médiocre).

Recommandations :

• Détection comportementale : Ne plus se fier à la seule qualité rédactionnelle des messages. Surveiller les comportements suspects sur les terminaux : exécution de fichiers LNK, scripts PowerShell malveillants, tâches planifiées masquées et activités réseau vers GitHub.
• Analyse des flux : Corréler les communications avec des dépôts GitHub avec l’exécution de charges utiles ultérieures.
• Surveillance renforcée : Se concentrer sur les actions post-infection sur la machine cible plutôt que sur la forme du vecteur d’entrée.

Source