北朝鮮偵察総局傘下のハッカー組織として知られる「キムスキ（Kimsuky）」が、生成型人工知能（AI）を攻撃プロセス全般に活用するため、ローカル大規模言語モデル（LLM）と検索拡張生成（RAG）環境を構築した状況が捉えられた。
サイバーセキュリティ企業のGeniansは、キムスキの最近の攻撃活動を分析した結果、生成型AIベースのツールを攻撃体系に活用するための研究と技術検証を蓄積してきた状況を確認したと10日明らかにした。
これまで北朝鮮のハッカー組織は、外交・安保の専門家を狙い、実際の業務関係者を装ったスピアフィッシングのメールを送る手口を主に用いてきた。受信者がメールに添付された圧縮ファイル内の文書型の悪性ショートカットファイルを実行すると、バックグラウンドでPowerShellスクリプトが動作する方式が代表的である。
しかし今回の分析では、AIを単に餌の作成に用いる水準を超え、脅威行為者が直接ローカルのLLM実行環境とRAG環境を構築し、AIベースの開発環境を運用した痕跡が確認されたというのがGeniansの説明である。
具体的には、Ollama、GPT4All、MstyなどのローカルLLM実行・管理ツールやRAG環境、AIエージェント開発フレームワーク、音声認識（STT）ツールなどを構築または活用した状況が識別された。AIコーディングツールであるCursorをインストール・使用した痕跡も多数見つかった。
Geniansはこれについて、外部サービスへデータを送信せずに運用可能なローカルLLMを活用し、奪取した文書を分析したり、情報抽出と攻撃業務を自動化しようとする試みとして解釈できると述べた。
攻撃に用いられる餌文書も巧妙化していることが判明した。従来は奪取した正規文書を再利用する方式が主に確認されてきたが、最近は生成型AIで作成したと推定される仮想資産・金融関連文書がスピアフィッシングに活用された。
とりわけ仮想資産分野を主要標的とし、投資戦略レポートや金融資料を装った悪性文書が継続的に拡散した。分析過程では、仮想資産ウォレット情報やGmailアカウント情報、ウェブサイト登録履歴などの個人情報の露出有無を確認しようとする状況も併せて識別された。
ムン・ジョンヒョンGeniansセキュリティセンター長は「今回の分析は、国家支援のハッカー組織がAIを実際の攻撃体系に接合するため、ローカルLLMとAI開発環境まで構築し、攻撃能力を高度化していることを示す事例だ」と述べ、「AI技術の進展でソーシャルエンジニアリング攻撃が一層巧妙化すると予想されるだけに、文書内容よりも実行挙動を中心に検知するEDRベースの脅威ハンティング体制が何より重要だ」と語った。
今回の分析結果は、韓国インターネット振興院（KISA）の脅威インテリジェンスネットワーク協議体をはじめとする国内外の協力体制と共有されている。報告書全文はGeniansのホームページで確認できる。