LONDON (IT BOLTWISE) – Eine für Nordkorea tätige Hacking-Einheit (Kimsuky) soll eine KI-Umgebung offline auf eigenen Servern aufgebaut haben. Dabei werden lokale Sprachmodell-Stacks wie Ollama und GPT4All betrieben sowie ein Retrieval-Ansatz mit einer lokalen Dokumentdatenbank (localdocs_v3.db) vorbereitet. Die Erkenntnisse zielen weniger auf „neue“ KI-Modelle als auf die Integration bestehender Komponenten in den Malware-Workflow. Für Verteidiger rückt damit die Kette aus LNK-Ausführung, PowerShell und späteren Payload-Aktivitäten stärker in den Fokus als die Qualität des Köders.
Nordkoreanische Spionageoperationen sind traditionell stark auf Phishing und das Sammeln strategischer Informationen ausgerichtet. Was sich laut einer Analyse der Sicherheitsfirma Genians nun konkret abzeichnet, ist jedoch eine neue Betriebslogik: Kimsuky soll Künstliche Intelligenz nicht nur als Chatbot nutzen, sondern einen Offline-Stack auf eigener Infrastruktur betreiben. Im Kern geht es um das Zusammensetzen von Bausteinen, die Spracheingaben und Dokumentzugriff in den Angriffsvorgang integrieren können – ohne dabei zwingend externe KI-Dienste aus dem Internet zu benötigen.
Genians beschreibt das Setup als „research and knowledge acquisition“-Phase: Statt ein eigenes KI-Modell zu trainieren, werden vorhandene Werkzeuge ausgewählt, lokal gestartet und in einen Ablauf eingebettet, der später auch mit Malware-Entwicklung sowie Datenanalyse zusammenhängen soll. In den Belegen tauchen lokale Komponenten auf, die für KI-Workloads typischerweise auf Entwickler- oder Laborumgebungen laufen: Ollama, GPT4All und Msty. Entscheidend ist dabei nicht, dass diese Tools grundsätzlich „bekannt“ sind, sondern dass sie gezielt für einen automatisierbaren Teil der Operation vorgehalten und offenbar aktiviert wurden.
Technisch wird das Bild dadurch schärfer, dass Genians einzelne Spuren nicht als bloße Downloads wertet, sondern als Ausführung oder Konfiguration. So sollen bei Ollama während des ersten Starts Schlüssel erzeugt worden sein – ein Indikator für initialisierte lokale Laufzeitprozesse. Bei GPT4All wird ein konfigurierter Datensatz namens localdocs_v3.db genannt, der mit dem Retrieval-augmented-generation-Feature (RAG) verknüpft ist. RAG bedeutet, dass ein Modell Antworten nicht nur aus dem „Gedächtnis“ des Modells generiert, sondern auf Basis einer privaten Dokumentensammlung. Genau diese lokale Dokumentdatenbank gilt in der Analyse als Hinweis darauf, dass Kimsuky Dokumente, über die man bereits verfügt, mit einem KI-System verbinden wollte – ohne damit automatisch belegen zu können, dass die Dokumente selbst kompromittiert oder gestohlen wurden.
Auch der beobachtete Kontext rund um Datensammlungen deutet auf einen Workflow hin, der mehr ist als nur Symbolik. Laut Bericht konnte ein Operator-Request rekonstruiert werden, der eine Prüfung eines Datensatzes auf Wallet-Details, Gmail-Zugangsdaten und Site-Registrierungsverläufe anfragt. Die Forscher konnten allerdings nicht bestätigen, dass genau diese Anfrage an einen KI-Dienst adressiert wurde. Das passt zur Einordnung, dass der Offline-Stack vor allem als Werkzeugkasten in einer frühen Phase dient: Die Umgebung ist vorbereitet, aber nicht jeder einzelne Operator-Befehl lässt sich eindeutig als „KI-gestützt“ im Sinne einer tatsächlichen Modellabfrage nachweisen.
Ergänzend nennt Genians auf derselben Infrastruktur Entwicklungskomponenten, die den Übergang von „fertigen KI-Anwendungen“ hin zu integrierbaren Funktionen erleichtern. Dazu gehören Bibliotheken für KI- und Agenten-Workflows im.NET-Ökosystem wie LLaMaSharp, Microsoft Semantic Kernel sowie Microsoft.Agents.AI. Außerdem werden Whisper-Sprach-zu-Text-Dateien inklusive einer Anleitung zur Textextraktion aus Audiodaten gefunden, und es gibt aktive Spuren eines KI-gestützten Code-Editors (Cursor). Selbst wenn keine dieser Technologien als exotisch gilt, ist die systematische Zusammenstellung „auf Zweck“ laut Genians das Neue: Eine staatlich gesteuerte Einheit baut sich eine KI-Umgebung, um Teile der Angriffsarbeit intern zu automatisieren – etwa von der Malware-Erstellung bis zur Auswertung von Material.
Für die Verteidigung ändert das vor allem die Heuristik bei der Bewertung von Angriffen. Wenn KI Texte oder Übersetzungen glatter formuliert, verlieren klassische Indikatoren wie holprige Grammatik oder auffällige Formatierung an Gewicht. Genians empfiehlt deshalb, die Sicht stärker auf die technische Ausführungskette zu richten: Korrelation von LNK-Ausführung, PowerShell-Nutzung, dem Einsatz versteckter geplanter Tasks, GitHub-bezogenen Netzwerkspuren sowie der späteren Aktivität des eigentlichen Payloads. Das ist auch deshalb relevant, weil Kimsuky bereits in eine größere Kampagnenfamilie eingebettet ist, die auf GitHub-Repositories als Command-and-Control-Kanal in einer LNK-zu-PowerShell-Kette setzt; in diesem Zusammenhang wurden zuvor AsyncRAT-Payloads verteilt, als Dateitypen getarnt, die auf den ersten Blick harmlos wirken. Ein weiterer Bericht hatte diesen GitHub-C2-Ansatz im April in breiteren Angriffen auf Nutzer in Südkorea beschrieben, und die aktuelle Einordnung sieht darin vor allem eine Bestätigung der verwandten Technikfamilie.
Wie groß die unmittelbare Auswirkung ist, bleibt gleichzeitig offen. Laut Genians wurde die neu beobachtete Offline-KI-Kombination bisher nicht eindeutig gegen einen konkreten Opfer-Host nachgewiesen; auch ein Zähler der betroffenen GitPower-Opfer wurde nicht genannt. Damit ist die Änderung in der Nähe eher als „Schritt“ zu verstehen: Es geht um die Vorbereitung, um später Automatisierung innerhalb des Angriffsablaufs effektiver zu machen. Historisch betrachtet passt das in ein Muster, bei dem Akteure wiederholt leistungsfähigere Werkzeuge einsetzen, sobald sie die operative Kontrolle verbessern – etwa indem sie Kommunikations- und Ausführungswege weniger sichtbar machen und mehr Verarbeitung lokal abwickeln. Das Risiko für Verteidiger liegt dann weniger im einzelnen Köder, sondern in der Maschinenkette dahinter.
Einzuordnen ist die Aktivität außerdem in den politischen und regulatorischen Kontext: Das US-Finanzministerium hatte Kimsuky bereits 2023 sanktioniert und die Einheit als nachgeordnet zur „Reconnaissance General Bureau“ beschrieben. Wenn ein solcher Akteur dann eine Offline-KI-Umgebung aufbaut, wirkt das wie eine konsequente Ergänzung der bisherigen Spionagearbeit um schnellere, schwerer erkennbare technische Schritte. Für Unternehmen bedeutet das, ihre Detektionsstrategie stärker in Richtung Prozess- und Netzwerk-Korrelation auszubauen und weniger ausschließlich auf „Textqualität“ oder sichtbare Köderindizien zu vertrauen. Denn bei einem KI-gestützten Vorgehen kann die eigentliche Veränderung genau dort beginnen, wo Ausführungspfade, Toolchains und spätere Payload-Aktivität zusammenlaufen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Kimsuky nutzt Offline-KI: Lokale Sprachmodelle und RAG als Bausteine für Malware" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Kimsuky nutzt Offline-KI: Lokale Sprachmodelle und RAG als Bausteine für Malware" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Kimsuky nutzt Offline-KI: Lokale Sprachmodelle und RAG als Bausteine für Malware« bei Google Deutschland suchen, bei Bing oder Google News!