Le groupe de hackers nord-coréen Kimsuky déploie désormais des modèles d’intelligence artificielle en local pour automatiser ses cyberattaques, générer des documents leurres sophistiqués et analyser les données volées. Une mutation technologique qui inquiète les experts et révèle l’ambition de la Corée du Nord de transformer l’IA en arme cyber de nouvelle génération.
Quand l’intelligence artificielle devient l’arme des hackers nord-coréens
Le groupe de piratage informatique Kimsuky, directement lié au Bureau de reconnaissance générale de Corée du Nord, franchit un nouveau cap dans ses opérations malveillantes. Selon les révélations de la société sud-coréenne de cybersécurité Genians, ces hackers d’État ne se contentent plus d’utiliser l’intelligence artificielle pour générer des leurres de phishing. Ils construisent désormais une infrastructure complète permettant d’intégrer des modèles de langage locaux (LLM) dans l’ensemble de leur chaîne d’attaque, du développement de malwares à l’analyse automatisée des données volées.
L’ampleur du dispositif découvert laisse entrevoir une mutation profonde des capacités offensives nord-coréennes. Loin des expérimentations ponctuelles, Pyongyang semble avoir compris que l’IA générative constitue un multiplicateur de force sans précédent pour ses opérations d’espionnage et de vol. Un tournant qui inquiète les spécialistes de la cybersécurité à l’échelle mondiale.
Une infrastructure d’IA locale pour échapper à la détection
Les chercheurs de Genians ont identifié des traces claires montrant que Kimsuky a déployé et opère des environnements de modèles de langage en local, utilisant notamment Ollama, GPT4All et Msty. Pourquoi privilégier une approche locale plutôt que le recours aux services cloud commerciaux ? La réponse tient en un mot : discrétion. En traitant les documents sensibles volés sur leurs propres serveurs, les hackers nord-coréens évitent de transmettre des informations compromettantes vers des services externes qui pourraient conserver des traces ou alerter les autorités.
L’infrastructure découverte va bien au-delà de simples outils de génération de texte. Selon le rapport de Genians, elle comprend également des technologies de recherche augmentée par récupération (RAG), des frameworks de développement d’agents IA, des logiciels de reconnaissance vocale et même Cursor, un outil d’assistance au codage propulsé par l’intelligence artificielle. Une panoplie qui révèle une stratégie d’intégration systématique de l’IA dans chaque phase des opérations de cyberattaque.
Ces outils permettent aux opérateurs de traiter des documents sans envoyer d’informations sensibles vers des services IA externes. Une capacité qui transforme radicalement l’efficacité de l’exploitation du renseignement collecté.
Des documents leurres générés par IA d’une qualité troublante
L’analyse des campagnes récentes de Kimsuky révèle un changement notable dans la fabrication des documents d’appât utilisés pour piéger les victimes. Traditionnellement, le groupe réutilisait des documents authentiques volés lors d’attaques précédentes. Depuis 2026, une nouvelle tendance se dessine : l’usage massif de documents créés de toutes pièces par l’IA générative.
Les fichiers PDF analysés par Genians présentent un niveau de sophistication remarquable. Traitant de sujets variés comme les actifs virtuels, l’investissement financier ou le développement de jeux vidéo, ils affichent une structure et un style d’écriture étonnamment cohérents. Plus inquiétant encore, l’examen des métadonnées révèle des indices d’automatisation : l’auteur mentionné est « python-docx », une bibliothèque Python permettant de générer automatiquement des documents Word, tandis que le créateur indiqué est « WPS 文字 », le traitement de texte de la suite chinoise WPS Office.
Un détail troublant : deux documents en anglais ont été créés respectivement le 11 mars 2026 à 5h00:04 et le 24 mars 2026 à 5h00:44. Dans les deux cas, les horodatages de création et de modification sont identiques, avec seulement 40 secondes d’écart entre les deux productions espacées de deux semaines. Une régularité qui suggère un processus automatisé tournant à heure fixe.
Le phishing nouvelle génération cible diplomatie et finance
Les campagnes d’hameçonnage menées par Kimsuky continuent de viser en priorité les missions diplomatiques étrangères, ainsi que les secteurs militaire, sécuritaire et des actifs virtuels. Les fichiers malveillants se présentent sous forme d’archives ZIP contenant des raccourcis LNK déguisés en documents légitimes : demandes de paiement d’honoraires, documents juridiques, matériaux de recherche, correspondances d’ambassades.
L’exécution de ces fichiers LNK déclenche une chaîne d’infection sophistiquée. Des arguments de ligne de commande lourdement obfusqués sont traités, puis un chargeur PowerShell embarqué s’exécute. Les techniques d’obscurcissement incluent l’encodage Base64, le découpage de chaînes de caractères et des routines de décodage personnalisées, rendant la détection par les antivirus traditionnels particulièrement ardue.
Un cas récent illustre la perfidie de ces attaques : un fichier malveillant nommé « Pack de stratégie pratique juillet 2026.pdf.lnk » imitait les documents diffusés par une plateforme fintech sud-coréenne proposant des services de stratégie d’investissement assistés par IA. L’entreprise visée a d’ailleurs publié un avertissement concernant des courriels de phishing usurpant son identité, tout en reconnaissant qu’une partie des informations clients avait été exposée.
GitHub et GitLab détournés en infrastructures de commande
L’évolution tactique de Kimsuky ne se limite pas à l’adoption de l’IA. Le groupe a également perfectionné son usage des plateformes Git comme GitHub et GitLab pour héberger son infrastructure de commande et contrôle (C2) et distribuer des charges utiles chiffrées d’AsyncRAT. Une approche baptisée « Operation GitPower » par Genians, qui s’inscrit dans la continuité de la campagne « FlowerPower » révélée en 2023.
L’abus de ces dépôts Git légitimes présente plusieurs avantages pour les attaquants. D’abord, le trafic vers GitHub ou GitLab apparaît normal dans la plupart des environnements d’entreprise, où les développeurs utilisent quotidiennement ces plateformes. Ensuite, ces services offrent une haute disponibilité et une bande passante importante, garantissant la fiabilité des communications malveillantes. Enfin, la fermeture d’un dépôt compromis n’affecte pas l’infrastructure globale : les hackers peuvent simplement en créer un nouveau.
Les chercheurs ont également identifié des indicateurs linguistiques typiquement nord-coréens dans le code et les documents analysés, notamment l’utilisation de termes comme « Arirang », « 싸이트 », « 가입리력 » et « 로출되였는지 », qui trahissent l’origine géographique des opérateurs.
