Kimsuky baut lokalen KI-Stack mit drei LLM-Laufzeiten, RAG und Angriffsbibliotheken

Den Belegen fehlt weiterhin der Nenner, der einen höheren Angriffserfolg durch KI bei Kimsuky nachweisen könnte: Wie viele KI-erstellte Köder wurden verschickt, wie viele Ziele infiziert und wie schnitt eine Vergleichskampagne ohne KI ab? Veröffentlichen Sicherheitsforscher später beide Erfolgsquoten für vergleichbare Angriffsketten, lassen sich Installationsspuren mit einem operativen Ergebnis verbinden. Vorerst zeigen die Funde den Aufbau und die Erprobung einer Integrationsumgebung, keinen nachgewiesenen Effizienzgewinn.

Am August 10, 2026 veröffentlichte das Genians Security Center seine Untersuchung zu Operation GitPower und ordnete eine Gruppe von GitHub- und GitLab-basierten Systemen Kimsuky zu. In den Protokollen fanden die Forscher drei lokale LLM-Laufzeiten: Ollama, GPT4All und Msty. Hinzu kam die Datei localdocs_v3.db von GPT4All, die beim Einrichten der dokumentbasierten Suchfunktion entsteht. Reuters berichtete am selben Tag unabhängig über den Befund. Genians beschreibt die Aktivität als Fortsetzung einer seit Jahren verfolgten Kampagne und nicht als vollständig neue Einbruchsmethode.

Vom Köderdokument zur Git-basierten Steuerung

Die beobachtete Kette begann mit einer schädlichen LNK-Datei in einem ZIP-Archiv. Öffnete ein Empfänger die als Behördenbrief, Forschungsunterlage oder Investmentbericht getarnte Verknüpfung, dekodierten ungefähr 3,800 Zeichen PowerShell weitere Skripte und führten sie aus. Diese nutzten GitHub Raw Content und APIs, um ein harmloses PDF anzuzeigen, Systemdaten zu sammeln und verschlüsselte Nutzlasten abzurufen. Einige Dateien mit der Endung .png waren tatsächlich RC4-verschlüsselte .NET-AsyncRAT-Nutzlasten. Ein von den Forschern beobachtetes, fest eingebautes GitHub-Token wurde inzwischen widerrufen.

Die nachgewiesene Rolle generativer KI ist enger als manche Überschrift vermuten lässt. Genians fand Köderdokumente, deren Metadaten, Aufbau und wiederholtes Layout mit automatisierter Erzeugung vereinbar waren. Außerdem dokumentierten Protokolle den Einsatz von Cursor beim Test einer GitHub-Steuerung. Der Bericht zeigt jedoch weder einen KI-Agenten, der Ziele auswählt, noch ein System, das die gesamte Angriffskette autonom ausführt. Ein überzeugender Phishing-Text und ein autonomes Angriffssystem stellen unterschiedliche Risiken dar.

Drei Laufzeiten hinterlassen verschiedene Spuren

Im Ollama-Verzeichnis lagen Schlüssel, die eine frühere Ausführung stützen. GPT4All hinterließ seine LocalDocs-Datenbank, Msty ein Installationsprogramm und Dateien des lokalen Dienstes. Die Forscher fanden zudem LLaMaSharp, Microsoft.SemanticKernel, Microsoft.Agents.AI, Whisper und GPU-Backends. Diese Komponenten decken Dokumentensuche, Agentenabläufe, Sprachtranskription und die Einbindung in C# ab. Ihr gemeinsames Auftreten spricht für den Vergleich mehrerer bestehender Modelle und Frameworks, beweist aber nicht, dass jede Komponente in einer realen Kampagne eingesetzt wurde.

Auch die Zuordnung hat Grenzen. Die Protokolle enthielten die Herstellerbezeichnung „Arirang“, nordkoreanischen Wortschatz, koreanische Tastaturspuren und Cursor-Aktivitäten bei einem GitHub-C2-Test. Genians verband diese Hinweise mit länger beobachteter Infrastruktur und bekannten Techniken und bewertete die Aktivität als mit Kimsuky verknüpft. Der Bericht warnt ausdrücklich davor, die Identität des Betreibers allein aus einem Gerätenamen oder einem sprachlichen Merkmal abzuleiten.

Vor allem fanden die Ermittler weder einen großen Trainingsdatensatz noch Fine-Tuning-Ergebnisse oder neu trainierte Modellgewichte. Belegt ist deshalb die Integration vorhandener KI, RAG und Agentenbibliotheken, nicht das Training eines eigenen Angriffsmodells durch Kimsuky. Reuters bestätigt den zentralen Befund unabhängig; die technischen Details und die Zuordnung stammen aus der Analyse von Genians.

In den kommenden drei bis sechs Monaten würden zwei messbare Größen die operative Wirkung präzisieren: die Zahl der aus derselben Dokumentvorlage abgeleiteten Ködervarianten und der Anteil zusammenhängender LNK-, versteckter PowerShell- und Git-API-Aktivitäten, den Endpunktschutz blockiert. Zeigen spätere Funde weiterhin nur installierte Werkzeuge und Lernmaterial, bleibt es bei der Vorbereitung von Fähigkeiten. Automatische Auswertung gestohlener Dokumente durch RAG oder reproduzierbare neue Angriffsschritte eines Agenten würden die stärkere Einordnung als operativen KI-Einsatz stützen.

Quellen:

• Genians Security Center: AI를 공격 체계에 접목하는 김수키, 미끼 문서 제작부터 로컬 LLM 구축까지
• Reuters: North Korean hacking group builds AI tools for cyberattacks, report says