Grupo norte-coreano Kimsuky constrói ferramentas de IA para automatizar ciberataques, diz relatório

Um grupo de hackers ligado à Coreia do Norte construiu ferramentas baseadas em modelos de linguagem (LLMs) e reuniu software capaz de ajudar a automatizar ciberataques, analisar material roubado e produzir campanhas de phishing mais convincentes. A informação é da empresa sul-coreana de cibersegurança Genians, em relatório noticiado pela Reuters via ET Tech.

Segundo a Genians, o grupo Kimsuky configurou ferramentas para rodar e gerenciar modelos de IA localmente, incluindo Ollama, GPT4All e Msty, além de tecnologia de busca em documentos conhecida como RAG (retrieval augmented generation). A empresa afirma que essas ferramentas permitiriam aos operadores processar documentos sem enviar informações sensíveis para serviços de IA externos, o que reduz o rastro deixado em provedores de nuvem.

O que foi encontrado na infraestrutura

A Genians também relatou ter identificado, na infraestrutura vinculada à campanha:

• frameworks de desenvolvimento de agentes de IA;
• software de transcrição de voz (speech-to-text);
• o Cursor, ferramenta de programação assistida por IA.

Segundo a empresa, os achados sugerem que o Kimsuky está indo além do uso de IA generativa apenas para criar iscas de phishing, passando a integrar modelos de IA existentes ao desenvolvimento de malware, à análise de dados e à automação de ataques.

A Genians afirma ainda ter encontrado documentos-isca com temas de finanças e criptomoedas que aparentavam ter sido gerados por IA. Os materiais foram projetados para se parecer com relatórios de investimento legítimos e outros documentos corporativos.

A Reuters registra que os achados da empresa não puderam ser verificados de forma independente.

Contexto do grupo

De acordo com autoridades dos EUA e da Coreia do Sul, além de especialistas em segurança, a Coreia do Norte usa há anos unidades cibernéticas ligadas ao Estado para espionagem, roubo financeiro e geração de receita. Em 2023, o Tesouro dos EUA sancionou o Kimsuky como um grupo de ciberespionagem controlado pelo governo norte-coreano, afirmando que ele coleta inteligência em apoio aos objetivos estratégicos de Pyongyang.

O que isso muda para quem constrói software no Brasil

O relatório aponta uma tendência que times de segurança e desenvolvimento no Brasil precisam ter no radar: as mesmas ferramentas de IA que aparecem no dia a dia de quem programa (modelos locais via Ollama, assistentes de código como Cursor, pipelines de RAG) também estão sendo apropriadas por operações ofensivas patrocinadas por Estados.

Alguns pontos práticos que decorrem do que a fonte descreve:

• Phishing mais difícil de filtrar. Iscas geradas por IA imitando relatórios de investimento e documentos corporativos tendem a reduzir os erros de português e formatação que antes serviam de pista. Treinamento anti-phishing baseado em "procure o erro de escrita" perde eficácia.
• Modelos locais complicam a detecção. Ao rodar LLMs on-premise em vez de chamar APIs de terceiros, operadores evitam deixar rastros em provedores de IA na nuvem, o que dificulta o monitoramento por telemetria externa.
• Setor cripto e financeiro no alvo. Os documentos-isca temáticos de finanças e criptomoedas reforçam a atenção para exchanges, fintechs e áreas de tesouraria, historicamente visadas por grupos norte-coreanos por conta da geração de receita.

Para times brasileiros, a leitura defensiva passa por reforçar autenticação forte, validação de anexos e domínios, monitoramento de endpoints e políticas de resposta a incidentes, sem tratar automação por IA como se fosse exclusividade do lado defensor.

Vale reforçar que o relatório é de uma única empresa e não teve verificação independente. Ainda assim, ele soma-se a alertas anteriores de autoridades sobre o uso de IA por atores estatais, e serve como sinal para revisar suposições de defesa e compliance.

Fonte: ET Tech (Índia)