![Sơ đồ tấn công sử dụng AI [Ảnh=Trung tâm An ninh Genians]](https://image.ajunews.com/content/image/2026/08/10/20260810105054673660.png)
Tổ chức tin tặc Triều Tiên 'Kimsuky' đang có những động thái mở rộng phạm vi sử dụng trí tuệ nhân tạo (AI) từ việc tạo ra tài liệu lừa đảo đơn giản đến phân tích thông tin bị đánh cắp và tự động hóa các cuộc tấn công. Đã có dấu hiệu cho thấy tổ chức này đã xây dựng môi trường mô hình ngôn ngữ lớn (LLM) nội bộ không phụ thuộc vào dịch vụ bên ngoài.
Theo kết quả phân tích hoạt động tấn công mới nhất của tổ chức Kimsuky, được công bố bởi công ty an ninh mạng Genians vào ngày 10, các công cụ quản lý và thực thi LLM nội bộ như Ollama, GPT4All, Msty đã được phát hiện. Cũng có dấu hiệu cho thấy tổ chức này đã xây dựng hoặc sử dụng môi trường tìm kiếm tăng cường (RAG), khung phát triển AI agent và công cụ nhận diện giọng nói.
Nhiều ghi chép sử dụng trình biên tập mã dựa trên AI có tên Cursor đã được xác nhận. Có khả năng công cụ này đã được sử dụng để chỉnh sửa tài liệu sẽ được sử dụng trong các cuộc tấn công và xem xét các sản phẩm do AI tạo ra.
Trước đây, việc sử dụng AI của các tổ chức tin tặc Triều Tiên chủ yếu dừng lại ở giai đoạn chuẩn bị tấn công như tạo hình ảnh và âm thanh giả mạo hoặc viết nội dung lừa đảo. Tuy nhiên, lần này, đã có dấu hiệu cho thấy họ đã xây dựng môi trường LLM và RAG nội bộ có thể hoạt động độc lập mà không cần chuyển dữ liệu cho dịch vụ AI bên ngoài. Phân tích tài liệu bị đánh cắp và trích xuất thông tin cần thiết hoặc tự động hóa các công việc tấn công lặp đi lặp lại đang được tiến hành.
Khác với việc Kimsuky trước đây tập trung vào việc giả mạo chuyên gia hoặc người có liên quan để gửi tài liệu độc hại và liên kết, việc phát hiện môi trường LLM và RAG nội bộ lần này được hiểu là một nỗ lực nhằm tự động hóa phân tích thông tin và chuẩn bị tấn công, từ đó mở rộng tốc độ và quy mô của các cuộc tấn công.
Ngoài ra, việc không chuyển dữ liệu cho dịch vụ AI bên ngoài và có khả năng tìm kiếm và tóm tắt tài liệu bị đánh cắp trong môi trường nội bộ cho thấy họ đang tìm cách nâng cao hiệu quả trong việc phân tích thông tin theo mục tiêu và sản xuất tài liệu lừa đảo tùy chỉnh.
Mồi nhử được sử dụng trong các cuộc tấn công cũng trở nên tinh vi hơn. Trước đây, họ thường tái sử dụng các tài liệu hợp pháp bị đánh cắp, nhưng gần đây đã xác nhận rằng các báo cáo đầu tư tài sản ảo và tài liệu tài chính được cho là do AI tạo ra đang được sử dụng trong các cuộc tấn công spear-phishing.
Với cấu trúc câu tự nhiên và định dạng gần giống tài liệu công việc thực tế, chúng giúp giảm bớt sự nghi ngờ của người dùng, sau đó dẫn dắt họ thực hiện các tệp độc hại đính kèm để đánh cắp thông tin tài khoản hoặc cá nhân.
Đặc biệt, lĩnh vực tài sản ảo đang trở thành mục tiêu tấn công chính. Các tin tặc được phân tích là đang cố gắng xác minh thông tin tài khoản ví tài sản ảo, tài khoản Gmail và lịch sử đăng ký trên các trang web, cũng như thông tin về hoạt động tài chính và trực tuyến của cá nhân.
Ông Mun Jong-hyun, Giám đốc Trung tâm An ninh Genians, cho biết: "Các tổ chức tin tặc có sự hỗ trợ của nhà nước đang nâng cao khả năng tấn công bằng cách xây dựng môi trường LLM và phát triển AI để tích hợp vào hệ thống tấn công thực tế" và nhấn mạnh rằng "hệ thống săn lùng mối đe dọa dựa trên phát hiện điểm cuối (EDR) tập trung vào hành vi thực hiện hơn là nội dung tài liệu là rất quan trọng".
Trong khi đó, Trung tâm An ninh Genians đang chia sẻ kết quả phân tích này với các tổ chức hợp tác trong và ngoài nước, bao gồm Mạng lưới Tình báo Đe dọa của Cơ quan Phát triển Internet Hàn Quốc (KISA).
* Bài viết này được dịch tự động bằng AI.
© Bản quyền thuộc về Thời báo Kinh tế AJU & www.ajunews.com: Việc sử dụng các nội dung đăng tải trên vietnam. kyungjeilbo.com phải có sự đồng ý bằng văn bản của Aju News Corporation.