ACTUALITÉS TECH – Le groupe nord-coréen Kimsuky prépare ses futures attaques avec des modèles de langage locaux, des systèmes RAG et des outils de développement assistés par IA. Selon les chercheurs de la société sud-coréenne Genians, ces opérateurs soutenus par l’État ne se contentent plus d’expériences ponctuelles et adaptent désormais l’IA au développement de logiciels malveillants, à l’analyse de données et à l’amélioration de leurs méthodes d’intrusion.

Les enquêteurs ont découvert des environnements Ollama, GPT4All et Msty sur l’infrastructure contrôlée par les attaquants. Le groupe a également expérimenté Cursor et testé la génération augmentée par récupération, ou RAG, pour interroger des documents locaux. L’exécution sur place évite d’envoyer les conversations sensibles et les données volées vers des services cloud externes, où l’opération pourrait être repérée ou interrompue.

Kimsuky est une unité de cyberespionnage liée au Bureau général de reconnaissance nord-coréen. Depuis des années, elle vise des administrations, des groupes de réflexion, des universités et des organismes de sécurité au moyen de courriels d’hameçonnage et de documents trompeurs.

L’IA rend les leurres plus crédibles et accélère l’analyse

Les campagnes récentes distribuent souvent des archives ZIP contenant des fichiers LNK malveillants, camouflés en documents liés à des événements internationaux, en rapports de recherche ou en invitations à des réunions. L’ouverture du raccourci lance un chargeur PowerShell intégré.

Dans certains cas, l’IA a servi à fabriquer des leurres consacrés aux actifs virtuels et à la finance. Un langage naturel, une structure soignée et une présentation proche de véritables supports professionnels renforcent la confiance, tandis que l’encodage Base64, le fractionnement des chaînes et des routines de décodage personnalisées masquent le comportement malveillant.

Le script PowerShell collecte de nombreux renseignements : version et architecture du système, configuration, type de PC, historique d’installation et de démarrage, ainsi que liste des processus actifs. Ces données permettent aux espions d’évaluer la machine compromise et de préparer la suite de l’attaque.

Contrôle par Git, RAG et reconnaissance vocale

Comme lors de précédentes opérations de Kimsuky, des dépôts Git publics ont été employés comme infrastructure de commande et de contrôle. Genians a identifié plusieurs dépôts GitHub administrés par le groupe, dont certains contenaient des fichiers de configuration, des scripts PowerShell et des charges utiles utilisées plus tard dans la chaîne d’infection.

L’enquête, menée durant plusieurs mois, montre que cette infrastructure servait aussi au développement et au test de malwares, à la gestion des données dérobées et à la recherche sur l’IA. Les attaquants ont rassemblé des bibliothèques comme LLaMaSharp et Microsoft.Extensions.AI, ainsi que des paquets OpenAI et Azure.AI.OpenAI, ce qui suggère une volonté de relier modèles locaux, recherche documentaire, agents automatisés et services commerciaux.

Les journaux ont également révélé l’usage de modèles de reconnaissance vocale Whisper, de Cursor pour modifier du code et de tests RAG destinés à répondre à des questions à partir de documents. Cette dernière méthode peut rapidement sélectionner, en partie automatiquement, les informations les plus précieuses dans un volume important de fichiers volés.

La défense doit surveiller les comportements

Les chercheurs n’ont trouvé aucun signe montrant que Kimsuky entraîne ses propres modèles ; le groupe applique pour l’instant des outils existants au développement de malwares et à ses opérations. Cette évolution rend néanmoins les filtres basés sur le contenu moins efficaces, car les formulations étranges, les fautes, les mauvaises traductions et les mises en page médiocres ne trahissent plus forcément un faux document généré avec l’IA.

Les organisations doivent donc rechercher, en plus des indicateurs de compromission connus, les comportements inhabituels après l’exécution d’un fichier LNK : lancement de PowerShell, mise en place d’un mécanisme de persistance et communications externes. Ces signaux peuvent révéler l’attaque même si le document d’appât semble irréprochable.

Source : The Register