[イーデイリーAn Yu-ri 記者] 北朝鮮の偵察情報総局傘下のハッキング組織として知られる「キム・スキー」（Kimsuky）が、生成AIをサイバー攻撃全般に活用し、関連技術力を蓄積しています。

サイバーセキュリティ専門企業のGENIANS, INC.(263860)は、北朝鮮のハッキング組織「キム・スキー」の最新の攻撃活動を分析した結果、生成AIベースのツールを攻撃体系全般に活用するための研究を進め、関連技術力を蓄積してきた状況を確認したと明らかにしました。

これまで、北朝鮮のハッキング組織は、外交・安全保障の専門家を標的とし、実際の業務関係者になりすましたスピアフィッシングメールを送信する手法を主に活用してきました。受信者がメールに添付されたZIP圧縮ファイル内の文書のような悪質なLNK（ショートカット）ファイルを実行すると、バックグラウンドでPowerShellスクリプトが動作する仕組みが代表的です。

これまでに確認された北朝鮮のハッキング組織によるAIの活用は、主に画像や音声の偽造、フィッシング用の餌の作成など、攻撃の準備段階に集中していました。しかし、今回の分析では、AIを単に餌の作成に活用するレベルを超え、脅威アクターが直接、ローカルの大規模言語モデル（LLM）実行環境や検索増強生成（RAG）環境を構築し、AIベースの開発環境を運用していた痕跡が確認されました。

これは、外部サービスにデータを送信することなく運用可能なローカルLLMを活用して、盗み出した文書を分析したり、情報抽出や攻撃業務を自動化しようとする試みであると解釈されます。AIを活用した攻撃などのサイバー脅威が、国家の安全保障や企業の存続を脅かすレベルまで高度化・知能化している状況において、細心の注意が必要です。

具体的に見てみると、Ollama、GPT4All、MstyなどのローカルLLMの実行・管理ツールや、RAG構成環境、AIエージェント開発フレームワーク、音声認識（STT）ツールなどを構築または活用した状況が確認されました。

また、コーディング専門のAIツール「Cursor」のインストールおよび使用の痕跡も多数特定され、Cursorを利用して攻撃に活用された文書を編集し、生成された成果物を検討したものとみられる記録も確認されました。これは、AIをマルウェアの開発や攻撃の自動化に活用するための研究と技術検証が進められていることを示唆する重要な事例であると、ジニアンスは説明しました。

攻撃手法も一段と精巧化しています。従来は、盗み出した正常な文書を再利用する事例が多かったものの、最近では生成AIを活用して作成されたとみられる仮想資産や金融分野の文書を、スピアフィッシングの餌として活用していました。自然な文体と実際の業務文書並みの高い完成度でユーザーの信頼を高め、悪性ファイルの実行を誘導する手法です。

特に、今回の攻撃は仮想資産分野を主な標的としている点でも注目されます。投資戦略報告書や金融資料を装った悪性文書が継続的に拡散されました。分析の過程では、仮想資産ウォレットの情報やGmailアカウント情報、ウェブサイトの登録履歴など、個人情報が漏洩していないかを確認しようとする状況も併せて特定されました。

ジニアンス・セキュリティセンター長のムン・ジョンヒョン理事は、「今回の分析は、国家が背後にいるハッキング組織が、AIを実際の攻撃体系に組み込むために、ローカルLLMやAI開発環境まで構築し、攻撃能力を高度化させていることを示す事例です」と述べ、「AI技術の発展により、ソーシャルエンジニアリング攻撃がさらに精巧化すると予想されるだけに、文書の内容よりも実行行為を中心に検知するEDRベースの脅威ハンティング体制が何よりも重要です」と強調しました。

今回の分析結果は、ジニアンス・セキュリティセンターが毎月発行する脅威インテリジェンス報告書に掲載されました。この分析結果は、韓国インターネット振興院（KISA）の脅威インテリジェンスネットワーク協議体をはじめとする国内外の協力体制と緊密に共有されており、ジニアンスのホームページで報告書の全文をご覧いただけます。