Kimsuky الكوري الشمالي ينشر مكدس ذكاء اصطناعي مستقل لتعزيز الهجمات

مقدمة تحليلية

كشفت شركة Genians الكورية الجنوبية للأمن السيبراني، في تقرير صدر بتاريخ 10 أغسطس 2026، عن قيام مجموعة Kimsuky الكورية الشمالية، وهي وحدة قرصنة تابعة لمكتب الاستطلاع العام (Reconnaissance General Bureau)، ببناء مكدس ذكاء اصطناعي (AI) مستقل يعمل على خوادمها الخاصة. هذه الخطوة تمثل تحولاً استراتيجياً يتجاوز الاعتماد على روبوتات الدردشة العامة، بهدف تعزيز عمليات التصيد الاحتيالي وأتمتة تطوير البرمجيات الخبيثة. كانت وزارة الخزانة الأمريكية قد فرضت عقوبات على Kimsuky في عام 2023، واصفة إياها بأنها تركز بشكل أساسي على جمع المعلومات الاستخباراتية. يشير تحليل Genians المستند إلى أشهر من التتبع وتحليل السجلات إلى أن المجموعة في مرحلة "البحث واكتساب المعرفة"، حيث تقوم بتجميع واختبار الأدوات الموجودة بدلاً من تدريب نماذج جديدة، مع توجه واضح لدمج الذكاء الاصطناعي في كل مراحل عملياتها، من صياغة البرمجيات الخبيثة إلى تحليل البيانات.

التحليل التقني

تستند Genians في استنتاجاتها إلى أدلة ملموسة تم العثور عليها على البنية التحتية المرتبطة بـ Kimsuky. تضمنت هذه الأدلة أدوات لتشغيل النماذج اللغوية الكبيرة (LLM) دون اتصال بالإنترنت، وهي:

• Ollama: تم العثور على مفاتيح تم إنشاؤها عند الإطلاق الأول، مما يدل على تكوين الأداة وتشغيلها الفعلي.
• GPT4All: احتوى على ملف localdocs_v3.db مهيأ، وهي قاعدة بيانات تستخدمها ميزة LocalDocs Retrieval-Augmented Generation (RAG) الخاصة به. تشير هذه القاعدة إلى محاولة المهاجم ربط وثائق بحوزته بنظام الذكاء الاصطناعي.
• Msty: وُجدت مؤشرات على تشغيله أو تكوينه.

تسمح ميزة RAG للنموذج بالاستجابة بناءً على مجموعة خاصة من المستندات، مما يعزز القدرة على صياغة محتوى تصيدي أكثر دقة ومصداقية. لم يؤكد التقرير سرقة هذه المستندات تحديداً، لكن وجود قاعدة البيانات يشير إلى الاستخدام. كما استعاد الباحثون طلبًا من مشغل للتحقق من مجموعة بيانات بحثاً عن تفاصيل المحفظة، وبيانات اعتماد Gmail، وسجل تسجيل المواقع، مع توجيه صريح: "كلما كان التحليل أكثر تفصيلاً، كان أفضل. من فضلك لا تفعل ذلك بشكل عشوائي." لم يؤكد التقرير ما إذا كان هذا الطلب قد قُدم لخدمة AI.

لم يقتصر الأمر على التطبيقات الجاهزة. فقد عثرت الشركة على البنية التحتية ذاتها على مكتبات مطورين تشمل LLaMaSharp، وMicrosoft's Semantic Kernel، وMicrosoft.Agents.AI. تُعد هذه المكونات أساسية لبناء وظائف الذكاء الاصطناعي في برمجيات C# و.NET المخصصة. إضافة إلى ذلك، وُجدت ملفات OpenAI's Whisper لتحويل الكلام إلى نص، مع دليل حول استخراج النص من الصوت، بالإضافة إلى آثار نشطة لمحرر الأكواد Cursor المدعوم بالذكاء الاصطناعي. هذه الأدوات، وإن لم تكن غريبة بحد ذاتها، تشكل معاً مكدساً متكاملاً، مما يدل على نية واضحة من مجموعة تجسس تابعة لدولة لتعزيز سير عملها الهجومي بالذكاء الاصطناعي.

تُعَد هذه الأنشطة امتداداً لحملة Kimsuky التي أطلقت عليها Genians اسم "Operation GitPower"، والتي تستغل مستودعات GitHub كقنوات قيادة في سلسلة إصابة تبدأ بملفات LNK وتتواصل عبر PowerShell، وقد وزعت حمولات AsyncRAT مشفرة متخفية في شكل ملفات صور. وقد وثقت Fortinet بشكل منفصل نمط GitHub-C2 الأوسع في أبريل 2026، في هجمات استهدفت مستخدمين كوريين جنوبيين، مما يؤكد عائلة التقنيات المحيطة، لكن وكالة رويترز ذكرت أن النتائج الجديدة المتعلقة بالذكاء الاصطناعي المحلي لم يتسن التحقق منها بشكل مستقل.

السياق وتأثير السوق

يمثل تحول Kimsuky نحو مكدس ذكاء اصطناعي مستقل نقلة نوعية في مشهد التهديدات السيبرانية. تقليدياً، اعتمد المدافعون على مؤشرات ضعف واضحة في هجمات التصيد الاحتيالي، مثل الترجمة الركيكة، التنسيق غير الدقيق، والأخطاء الإملائية. مع قدرة الذكاء الاصطناعي على صياغة رسائل طعم مقنعة وخالية من هذه الأخطاء، تتلاشى هذه العلامات المميزة، مما يجعل الهجمات أسرع في التحضير وأصعب في الكشف. هذا يضع عبئاً ثقيلاً على المدافعين، الذين يجب عليهم الآن التركيز على السلوكيات غير الطبيعية داخل الأنظمة بدلاً من الاعتماد على عيوب المهاجم البشري.

في مواجهة هذا التطور، توصي Genians المدافعين بتغيير منهجياتهم للكشف، والتخلي عن التقييم السطحي لجاذبية الطعم. بدلاً من ذلك، يجب عليهم التركيز على:

• ارتباطات تنفيذ LNK.
• نشاط PowerShell.
• المهام المجدولة المخفية.
• حركة مرور GitHub.
• نشاط الحمولة اللاحقة.

هذه التوصيات تشير إلى تحول ضروري نحو مراقبة سلوكيات ما بعد الاختراق على الجهاز، وليس فقط مرحلة الإغراء الأولية. هذا المكدس الملاحظ حديثاً، والذي يتضمن النماذج المحلية وقاعدة بيانات RAG وأدوات النسخ، لم يثبت بعد تشغيله ضد ضحية، ولم يُكشف عن عدد ضحايا GitPower. ومع ذلك، تشير هذه الخطوة إلى تحضير منهجي لأتمتة أجزاء من عمليات التجسس. هذا يتفق مع نمط سابق سجلته Genians في عام 2025، عندما ربطت Kimsuky بهجوم تصيد استخدم صور بطاقات هوية عسكرية كورية جنوبية مُولّدة بواسطة ChatGPT، مما يؤكد اتجاهاً مستمراً نحو دمج الذكاء الاصطناعي في تكتيكات المجموعة.

رؤية Glitch4Techs

تقرير Genians ليس مجرد تحذير؛ إنه إثبات لواقع تقني جديد. إن مجموعة Kimsuky قد تجاوزت مرحلة الاستكشاف النظري للذكاء الاصطناعي، وهي الآن تعمل على بناء بنية تحتية تشغيلية مستقلة. وجود أدوات مثل localdocs_v3.db المهيأة ضمن GPT4All ليس مجرد تنزيل لبرنامج؛ إنه دليل على تكوين مباشر وربط لأنظمة الذكاء الاصطناعي ببيانات المجموعة الخاصة. هذا التحول يعني أن الدفاعات التقليدية التي تعتمد على اكتشاف الأخطاء البشرية في رسائل التصيد أصبحت عفا عليها الزمن. الاعتماد السابق على ضعف الصياغة أو الترجمة الرديئة كمؤشر للهجوم لم يعد صالحاً، خاصة مع السوابق التي كشفت عنها Genians في 2025 لاستخدام Kimsuky صوراً مُولّدة بالذكاء الاصطناعي في هجماتها. على المدافعين أن يدركوا أن المعركة قد انتقلت إلى مستوى الكشف السلوكي المتقدم، وكل يوم تأخير في هذا التكيف يزيد من نقطة الضعف.