Kimsuky prépare une stack d’IA hors ligne pour renforcer le phishing, les malwares et la collecte de données

L’activité attribuée au groupe nord-coréen

Genians attribue à Kimsuky, une unité nord-coréenne rattachée au Reconnaissance General Bureau, la préparation d’une infrastructure destinée à exécuter des outils d’intelligence artificielle hors ligne.

L’activité a été détectée le 10 août 2026, après plusieurs mois de surveillance et d’analyse des journaux. Les éléments recueillis indiquent une phase de recherche, d’assemblage et de test, et non l’entraînement d’un modèle propriétaire.

L’objectif apparent est d’appliquer l’IA à plusieurs étapes opérationnelles : développement de malwares, création de campagnes de phishing et analyse automatisée des données. Rien ne permet d’établir que cette stack a déjà été utilisée contre une victime.

Les outils identifiés sur les systèmes surveillés

Parmi les composants observés figurent plusieurs logiciels permettant d’exécuter des modèles localement ou de les intégrer à des applications :

• Ollama, avec des clés générées lors du premier démarrage, ce qui suggère une exécution ou une configuration effective ;
• GPT4All, avec la base de données localdocs_v3.db associée à la fonction LocalDocs et au retrieval-augmented generation (RAG) ;
• Msty, une plateforme d’exécution locale de modèles de langage ;
• LLaMaSharp, Microsoft Semantic Kernel et Microsoft.Agents.AI, des bibliothèques destinées aux applications d’IA en environnement C#/.NET ;
• OpenAI Whisper, au moyen de fichiers et d’instructions pour transcrire des contenus audio ;
• Cursor, un éditeur de développement doté de fonctions assistées par l’intelligence artificielle.

Les versions exactes des produits n’ont pas été communiquées. La base RAG montre une tentative de relier des documents accessibles à l’opérateur à un système d’IA, mais ne prouve pas que ces documents aient été exfiltrés.

Dans une activité retrouvée dans les journaux, l’opérateur demandait d’examiner un dataset à la recherche d’informations sur des wallets, des identifiants Gmail et l’historique d’enregistrement des sites. Il n’a pas été possible de confirmer que la requête avait effectivement été envoyée à un service d’IA.

Le lien avec Operation GitPower

Cette activité s’inscrit dans le contexte d’Operation GitPower, une campagne qui utilise des dépôts GitHub comme canaux de commande. La chaîne d’infection observée suit le schéma LNK → PowerShell et distribue des payloads AsyncRAT chiffrés, déguisés en fichiers image.

Fortinet a documenté séparément, en avril, l’utilisation du schéma GitHub-C2 contre des utilisateurs sud-coréens. Ce rapport confirme la technique générale, mais ne démontre pas de lien avec les nouveaux artefacts d’IA locaux.

Genians attribue l’opération à Kimsuky en s’appuyant sur des recoupements avec des campagnes précédentes, des éléments d’infrastructure et un vocabulaire nord-coréen présent dans les journaux. En 2023, le département du Trésor américain avait sanctionné le groupe, le décrivant comme une structure principalement orientée vers la collecte de renseignements.

En 2025, Genians avait également associé Kimsuky à une campagne de spear-phishing utilisant des images générées par ChatGPT et représentant des cartes d’identification de membres des forces armées sud-coréennes.

Pourquoi l’exécution hors ligne modifie la détection

Une infrastructure locale permet de traiter des documents et des données sans les transmettre à des chatbots publics. Elle peut également rendre les messages malveillants plus crédibles en réduisant les traductions maladroites, les fautes de frappe et les problèmes de mise en forme.

La qualité du texte ne suffit donc plus à identifier une tentative de phishing. Le risque stratégique est élevé, mais l’automatisation complète des opérations n’est pas encore établie et aucun chiffre concernant les victimes de GitPower n’a été divulgué.

Ce que les équipes de sécurité doivent rechercher

Les activités de détection devraient corréler, au sein d’une même séquence :

• l’exécution de fichiers LNK et les activités PowerShell ;
• la création ou l’activation de tâches planifiées dissimulées ;
• le trafic vers des dépôts GitHub ;
• le téléchargement de payloads chiffrés déguisés en images ;
• l’exécution ultérieure des payloads.

Il convient également de surveiller l’installation, le démarrage et la configuration d’Ollama, GPT4All, Msty, Cursor et Whisper, ainsi que des bibliothèques d’IA pour C#/.NET.

Les recherches devraient inclure les modèles locaux, les clés générées au premier démarrage, les bases RAG telles que localdocs_v3.db et les documents indexés. Le triage doit privilégier les chaînes de processus, la persistance, les communications et les activités post-compromission, sans se fonder uniquement sur la qualité linguistique des leurres.