Kimsuky bị phát hiện dùng LLM cục bộ để hỗ trợ tấn công
"South Korean researchers at Genians reported that the North Korean Kimsuky threat group is operating local LLM environments with tools such as Ollama, GPT4All, and Msty, and is experimenting with RAG, speech-to-text, and AI-assisted code editing to support phishing, malware development, and data analysis. The activity does not describe a software vulnerability or CVE; the main impact is improved attack effectiveness, stealth, and automated document and data handling, with defenders advised to rely on behavior-based detection rather than content-based cues."
Tăng hiệu quả phishing, che giấu hành vi và hỗ trợ tự động hóa tấn công; không phải lỗ hổng phần mềm nhưng làm khó phát hiện hơn.
Có thể làm tăng rủi ro xâm nhập ban đầu, rò rỉ dữ liệu và chi phí điều tra; các tổ chức cần nâng cấp giám sát hành vi thay vì chỉ dựa vào nội dung mồi nhử.
Theo báo cáo của Genians, nhóm đe dọa Kimsuky liên quan Triều Tiên đang vận hành các môi trường LLM cục bộ với Ollama, GPT4All và Msty, đồng thời thử nghiệm RAG, speech-to-text và chỉnh sửa mã bằng AI để phục vụ phishing, phát triển malware và phân tích dữ liệu.
Nghiên cứu cho thấy nhóm này tiếp tục dùng ZIP chứa LNK độc hại để phát tán email mồi nhử, thường ngụy trang dưới dạng tài liệu về sự kiện quốc tế, báo cáo nghiên cứu hoặc yêu cầu họp. Khi nạn nhân mở tệp, PowerShell loader được thực thi và thu thập thông tin hệ thống như phiên bản hệ điều hành, kiến trúc máy, cấu hình, lịch sử khởi động và tiến trình đang chạy.
Genians cũng ghi nhận việc nhóm sử dụng GitHub repositories làm hạ tầng C2, lưu trữ cấu hình, script và payload cho các giai đoạn tấn công tiếp theo. Điểm đáng chú ý là họ ưu tiên mô hình AI chạy nội bộ để tránh dữ liệu hội thoại bị gửi lên dịch vụ bên ngoài.
Khuyến nghị cho đội phòng thủ là chuyển trọng tâm sang phát hiện theo hành vi: theo dõi thực thi LNK, khởi chạy PowerShell, thiết lập persistence, và kết nối ra ngoài bất thường; đồng thời kết hợp IoC với giám sát chuỗi tấn công sau khi mở tệp.