قراصنة كوريا الشمالية يستخدمون الذكاء الاصطناعي المحلي لأتمتة الهجمات على شركات العملات الرقمية

كشفت شركة “جينيانز” الجنوبية الكورية للأمن السيبراني، في تقرير أصدرته يوم الاثنين، عن أدلة جديدة تُظهر أن مجموعة القرصنة “كيمسوكي” المرتبطة بكوريا الشمالية قد بنت ثلاث بيئات ذكاء اصطناعي محلية كجزء من استعداداتها لشن هجمات إلكترونية تستهدف شركات العملات الرقمية والمؤسسات المالية.

ووفقًا للتقرير، تعمل المجموعة على تشغيل بيئات نماذج لغوية كبيرة عبر أدوات “أولاما” و”جي بي تي فور أول” و”إمستي”، مما يمنحها إمكانية الوصول إلى أدوات ذكاء اصطناعي يمكن تشغيلها دون الاعتماد على خدمات سحابية خارجية، وهو ما يمنحها قدرة أكبر على إخفاء أنشطتها وتجنب رصدها من قبل مزودي الخدمات الخارجيين.

بناء أنظمة ذكاء اصطناعي محلية للهجمات السيبرانية

يتيح تشغيل النماذج محليًا للمشغلين إجراء استعلامات دون إرسال معلومات حساسة عن الهجمات إلى مزودي الذكاء الاصطناعي الخارجيين، كما تدعم هذه البيئات تقنية “التوليد المعزز بالاسترجاع” التي تربط نموذج الذكاء الاصطناعي بمعلومات إضافية يقدمها المشغل، مما يعزز دقة النتائج وفعاليتها.

وإلى جانب هذه البيئات الثلاث، عثر الباحثون على مكتبات وأطر عمل يمكنها دمج نماذج لغوية في برامج مخصصة، كما قامت المجموعة بجمع أدوات مساعدة في البرمجة مثل “كيرسر” وأدوات تحويل الكلام إلى نص، كجزء من بنيتها التحتية للذكاء الاصطناعي. وبدلاً من تطوير نماذج ذكاء اصطناعي جديدة كليًا، ركزت أنشطة “كيمسوكي” على توظيف التكنولوجيا مفتوحة المصدر في تطوير البرمجيات الخبيثة وتحليل البيانات وأتمتة الهجمات، وفقًا لتحليل الشركة الكورية.

وأكد التقرير أن هذه الأنشطة تجاوزت مرحلة الاختبارات المنعزلة، لأن المجموعة تواصلت باستمرار دمج الذكاء الاصطناعي في قدراتها الهجومية التشغيلية، لكن النتائج لم تُظهر تطوير المجموعة لنماذج ذكاء اصطناعي مملوكة لها من الصفر. كما أن إبقاء النماذج على بنية تحتية محلية يسمح للقراصنة بالتعامل مع المعلومات دون إرسالها إلى أنظمة سحابية خارجية، مما يعزز الأمن التشغيلي لديهم.

مستندات خادعة مولدة بالذكاء الاصطناعي تستهدف شركات العملات الرقمية

تواصل “كيمسوكي” أيضًا استخدام الذكاء الاصطناعي التوليدي لإعداد مواد تصيد احتيالي تركز على العملات الرقمية واستراتيجيات الاستثمار وخدمات التكنولوجيا المالية، إذ حدد الباحثون مستندات متقنة الإعداد تحاكي بشكل كبير محتوى مرتبطًا بمنصة استثمار كورية تعمل بالذكاء الاصطناعي، وتستخدم هذه الملفات لغة طبيعية وتنسيقًا متناسقًا وعناصر تصميم احترافية مرتبطة بالمحتوى المولد بواسطة الذكاء الاصطناعي.

وتقدم هذه المواد استخدامًا إضافيًا للبنية التحتية للذكاء الاصطناعي لدى المجموعة، بما يتجاوز مجرد البرمجة ومعالجة البيانات، حيث يمكن للمشغلين استخدام الأدوات التوليدية لإعداد مستندات مصممة حول مواضيع مالية تهم أهدافهم، بدلاً من الاعتماد على رسائل التصيد الضعيفة الكتابة.

هجمات إلكترونية كورية شمالية تجمع بين الذكاء الاصطناعي والهندسة الاجتماعية

أضافت هذه النتائج “كيمسوكي” إلى سلسلة عمليات مرتبطة بكوريا الشمالية تستخدم أحدث الأساليب التقنية والهندسة الاجتماعية ضد صناعة العملات الرقمية. ففي يوليو، أبلغت شركة “جامبسيك” للأمن السيبراني عن قيام مجموعة “بلو نوروف”، المرتبطة أيضًا بكوريا الشمالية، بتشغيل اجتماعات وهمية عبر “زوم” و”مايكروسوفت تيمز” لاستهداف مستخدمي العملات الرقمية قبل تسليم البرمجيات الخبيثة.

واستعادت “جامبسيك” الكود المصدري من مجموعة تصيد نشطة بعد أن كشف مشغلوها عن خرائط المصادر الخاصة بجافا سكريبت عن طريق الخطأ، واحتوى الكود على وظائف فحص المحافظ الضارة، وأدوات تحكم للمشغلين، وطرق تسليم منفصلة لأنظمة ويندوز وماك، ويقوم النظام بالتحقق من اتصالات محافظ إيثيريوم ومحافظ غير إيثيريوم بما فيها أدوات سولانا قبل إرسال النتائج إلى لوحة تحكم المشغل.

ويُظهر تحليل “جامبسيك” أن المهاجمين يستخدمون الآن صورًا مولدة بالذكاء الاصطناعي مع حركات جسدية مأخوذة من اجتماعات سابقة لإنشاء مشاركين مقنعين في مكالمات الفيديو الوهمية، ويمكن للضحايا الوصول عبر حساب تيليغرام لجهة اتصال حقيقية تم اختراقها، قبل تلقي دعوة “كاليندلي” تعيد توجيههم إلى نطاق اجتماع وهمي، وأثناء المكالمة يعرض المشغل فيديو مُعدًا مسبقًا ويرسل رسائل عن مشكلة مزعومة في الميكروفون ويطلق تحديث زوم وهميًا.

وحددت شركة “أركتيك وولف” سابقًا أكثر من 80 نطاقًا مشابهًا لموقع زوم وتيمز مرتبطة بعمليات ذات صلة، حيث يعمل نحو 80% من الأهداف المحددة في مجال العملات الرقمية أو تمويل البلوك تشين أو قطاعات الاستثمار المرتبطة بها، بينما يمثل المؤسسون وكبار المسؤولين التنفيذيين 45% من الأهداف المحددة.

نموذج التسلل الداخلي وشركات العملات الرقمية

تسعى العمليات الكورية الشمالية أيضًا للحصول على وصول من داخل شركات العملات الرقمية بدلاً من الاعتماد فقط على التصيد أو البرمجيات الخبيثة، ففي يوليو، أوقفت شركة “كونسينسيس” إصدارات منتجاتها مؤقتًا بعد اكتشاف أن مستشارًا مرتبطًا بكوريا الشمالية حصل على وصول إلى أنظمتها لمدة شهر تقريبًا، وكان المستشار الذي عمل تحت اسم “تايلر ناب” قد ساهم في الكود الأساسي لمنصة “ميتاماسك” بما في ذلك المكونات التي تربط مستخدمي العملات الرقمية بمزودي الدفع بالعملات الورقية.

وقال مات كورفا، المستشار العام لشركة “كونسينسيس”، إن مزود خدمات خارجيًا قدم المستشار للشركة، وتم إنهاء وصوله بعد تحديد التهديد، وقالت الشركة إن تحقيقها لم يعثر على أي أصول أو بيانات مسروقة أو كود خبيث أو تأثير على أمن المستخدمين، وحددت أبحاث منفصلة من مشروع “كيتمان” حوالي 100 عامل كوري شمالي مشتبه به يعملون بهويات مزيفة عبر 53 مشروعًا للعملات الرقمية وويب 3.

وجاء تطوير البنية التحتية للهجمات المدعومة بالذكاء الاصطناعي بعد أن سرقت مجموعات القرصنة الكورية الشمالية ما يقدر بنحو 2.02 مليار دولار من العملات الرقمية خلال عام 2025، وفقًا لبيانات شركة “تشيناليسيس”، ومعظم خسائر العام جاءت من هجوم فبراير 2025 ضد منصة “بيبيت” حيث سُرقت أكثر من 400,000 إيثيريوم بقيمة حوالي 1.5 مليار دولار، وألقى مكتب التحقيقات الفيدرالي باللوم على كوريا الشمالية وحدد الجهات الفاعلة المسؤولة.

ويحذر الباحثون من أن الذكاء الاصطناعي يمكن أن يقلل الوقت الذي يحتاجه المهاجمون لتحديد نقاط الضعف في البرمجيات، وقد قال إيليا بولوسوخين، الشريك المؤسس لبروتوكول “نيار”، إن الذكاء الاصطناعي يزيد من قدرة القراصنة على تحديد الثغرات الأمنية بشكل أسرع من قدرة العمليات الأمنية التقليدية على معالجتها، بينما تواصل المجموعات الكورية الشمالية استخدام التصيد والعمال عن بعد المزيفين والهويات الإلكترونية المخترقة، مع استعدادات “كيمسوكي” لاستخدام نماذج الذكاء الاصطناعي المحلية لتطوير البرمجيات الخبيثة وتحليل البيانات وأتمتة الهجمات.

الأسئلة الشائعة

ما هي بيئات الذكاء الاصطناعي المحلية التي تستخدمها مجموعة كيمسوكي في هجماتها؟
تستخدم مجموعة كيمسوكي ثلاث بيئات ذكاء اصطناعي محلية وهي أولاما وجي بي تي فور أول وإمستي، وهي أدوات تسمح بتشغيل نماذج لغوية كبيرة دون الحاجة إلى خدمات سحابية خارجية، مما يساعد في إخفاء المعلومات الحساسة عن مزودي الخدمات الخارجيين.

كيف تستخدم المجموعات الكورية الشمالية الذكاء الاصطناعي في الهجمات الإلكترونية؟
تستخدم المجموعات الكورية الشمالية الذكاء الاصطناعي في عدة مجالات، منها إنشاء مستندات تصيد احتيالي احترافية تستهدف شركات العملات الرقمية، وتوليد صور وحركات مقنعة للمشاركين في اجتماعات وهمية عبر زوم وتيمز، بالإضافة إلى تطوير البرمجيات الخبيثة وتحليل البيانات وأتمتة تنفيذ الهجمات.

ما حجم الخسائر التي سببتها هجمات كوريا الشمالية على العملات الرقمية؟
سرقت مجموعات القرصنة الكورية الشمالية حوالي 2.02 مليار دولار من العملات الرقمية خلال عام 2025، وكان الجزء الأكبر من الخسائر من هجوم فبراير 2025 ضد منصة “بيبيت” حيث سُرقت إيثيريوم بقيمة 1.5 مليار دولار، وتشير التقديرات إلى أن 27.6% من الأموال المسروقة لم يعد يمكن تتبعها.