مجموعة كيم سوكي الكورية الشمالية تبني بيئة ذكاء اصطناعي محلية وتؤتمت هجماتها الإلكترونية

بناء بيئة نماذج لغوية محلية بدون الاعتماد على خدمات ذكاء اصطناعي خارجية

أتمتة تحليل الوثائق المسروقة واستخراج المعلومات وحتى تحضيرات الهجمات

طعوم متطورة بالذكاء الاصطناعي في قطاع العملات الرقمية والخدمات المالية لاستهداف بيانات الحسابات والمحافظ الرقمية

• بناء بيئة نماذج لغوية محلية بدون الاعتماد على خدمات ذكاء اصطناعي خارجية

• أتمتة تحليل الوثائق المسروقة واستخراج المعلومات وحتى تحضيرات الهجمات

• طعوم متطورة بالذكاء الاصطناعي في قطاع العملات الرقمية والخدمات المالية لاستهداف بيانات الحسابات والمحافظ الرقمية

رسم توضيحي لسير الهجوم باستخدام الذكاء الاصطناعي [الصورة: مركز جينيوس للأمن السيبراني]

تظهر مجموعة كيم سوكي (Kimsuky) الكورية الشمالية، التابعة لهيئة الاستخبارات والاستطلاع الكوري الشمالية، تحركات متسارعة لتوسيع نطاق استخدام الذكاء الاصطناعي التوليدي من مجرد إنشاء مواد احتيالية إلى مجالات تحليل المعلومات المسروقة وأتمتة الهجمات. وقد تأكدت مؤشرات تشير إلى أنها بنت بيئة نموذج لغوي كبير (LLM) محلية خاصة بها، بدون الاعتماد على خدمات خارجية.

وفقاً لنتائج تحليل أحدث أنشطة هجومية لمجموعة كيم سوكي، كما أعلنتها شركة الأمن السيبراني جينيوس في العاشر من الشهر الجاري، تم اكتشاف أدوات تشغيل وإدارة نماذج لغوية محلية مثل Ollama و GPT4All و Msty في مسار أنشطة المجموعة. وكذلك لوحظ وجود آثار لبناء واستخدام بيئة الإجابة المدعومة بالاستخراج (RAG)، إلى جانب إطار عمل لتطوير وكلاء ذكاء اصطناعي وأدوات للتعرف على الكلام.

كما تم تأكيد سجلات متعددة لاستخدام محرر الأكواد المدعوم بالذكاء الاصطناعي Cursor. يُشار إلى احتمالية أن المجموعة استخدمت هذه الأداة في عملية تحرير الوثائق المطلوب استخدامها في الهجمات ومراجعة النتائج التي يُنتجها الذكاء الاصطناعي.

في الماضي، كان استخدام المجموعات الكورية الشمالية للذكاء الاصطناعي يقتصر بشكل أساسي على مراحل تحضير الهجمات، مثل إنشاء صور وأصوات مزيفة أو كتابة نصوص احتيالية. غير أن هذه المرة، تم اكتشاف أدلة تشير إلى بناء مباشر لنماذج لغوية محلية وبيئة إجابة مدعومة بالاستخراج، يمكن تشغيلهما بشكل مستقل دون نقل البيانات إلى خدمات ذكاء اصطناعي خارجية. يشير التحليل إلى أن المجموعة تجري حالياً اختبارات تقنية لتحليل الوثائق المسروقة واستخراج المعلومات اللازمة منها، وكذلك أتمتة مهام الهجمات المتكررة.

على خلاف التركيز السابق لمجموعة كيم سوكي على انتحال صفة الخبراء والمسؤولين المؤسسيين ونقل الوثائق الخبيثة والروابط الضارة، يُفسَّر اكتشاف البيئات المحلية للنماذج اللغوية وإجابة البحث المدعومة بالاستخراج على أنه محاولة لأتمتة تحليل المعلومات وتحضيرات الهجمات، بهدف توسيع سرعة وحجم الهجمات.

كما أن عدم الحاجة إلى نقل البيانات إلى خدمات ذكاء اصطناعي خارجية، مع إمكانية البحث والتلخيص الخاص بالوثائق المسروقة في البيئة الداخلية، يُشير إلى نية المجموعة بزيادة كفاءة تحليل المعلومات حسب الأهداف وإنشاء مواد احتيالية موجهة.

وقد أظهرت الأدلة أن الطعوم المستخدمة في الهجمات أصبحت أكثر دقة. فبدلاً من إعادة استخدام الوثائق الأصلية المسروقة كما كان يحدث سابقاً، تم اكتشاف تقارير استثمار في العملات الرقمية وموارد مالية يُعتقد أنها مكتوبة بواسطة الذكاء الاصطناعي التوليدي، وتُستخدم في هجمات الصيد الموجهة (Spear Phishing).

تتميز هذه الطعوم بنصوص طبيعية وتنسيق قريب جداً من الموارد الحقيقية للعمل، مما يقلل اليقظة لدى المستخدمين، ثم يتم توجيههم لتنفيذ الملفات الخبيثة المرفقة، بهدف سرقة بيانات الحسابات والمعلومات الشخصية.

على وجه الخصوص، برز قطاع العملات الرقمية كهدف رئيسي للهجمات. يُشير التحليل إلى أن المهاجمين كانوا يسعون للتحقق من معلومات محافظ العملات الرقمية وحسابات جيميل (Gmail) وسجلات الاشتراك في المواقع الإلكترونية، وغيرها من بيانات الأنشطة المالية والإلكترونية الشخصية.

قال مون جونغ-هيون، مدير مركز جينيوس للأمن السيبراني: «المجموعات الإرهابية المدعومة من الدول تطور قدراتها الهجومية من خلال بناء بيئات تطوير ذكاء اصطناعي محلية ونماذج لغوية محلية، سعياً لدمج الذكاء الاصطناعي في نظم هجومها الفعلية. وأصبح من المهم الاعتماد على نظم كشف التهديدات والاستجابة (EDR) المبنية على تحليل السلوك والأفعال التنفيذية بدلاً من محتوى الوثائق وحده».

من جهتها، تعاون شركة جينيوس والمركز في مشاركة نتائج هذا التحليل مع جهات التعاون المحلية والدولية، بما في ذلك الشبكة التنسيقية لاستخبارات التهديدات في مركز الإنترنت الكوري (KISA).

* تمت ترجمة هذا المقال تلقائيًا بواسطة الذكاء الاصطناعي.