Corée du Nord : le groupe Kimsuky automatise ses cyberattaques grâce à l’IA

Kimsuky intègre des modèles d'IA locaux pour automatiser ses opérations malveillantes

Le groupe de pirates informatiques nord-coréen Kimsuky, rattaché au Bureau général de reconnaissance de Corée du Nord, a franchi un cap décisif dans l'automatisation de ses cyberattaques. Selon un rapport publié en août 2026 par la société sud-coréenne de cybersécurité Genians, le collectif déploie désormais des environnements locaux de modèles de langage (LLM) via des outils comme Ollama, GPT4All et Msty. L'objectif : générer automatiquement des documents d'appât, analyser des données volées et développer des logiciels malveillants sans recourir à des services d'intelligence artificielle externes, susceptibles de compromettre leurs opérations.

L'intégration de modèles locaux combinés à des technologies de recherche augmentée par récupération (RAG) permet aux opérateurs de traiter des documents sensibles sans exposer d'informations à des tiers. Genians a également identifié sur l'infrastructure liée à la campagne des frameworks de développement d'agents IA, des logiciels de reconnaissance vocale et Cursor, un outil d'assistance au codage propulsé par l'intelligence artificielle. Les chercheurs ont baptisé l'opération « GitPower », en référence à l'utilisation intensive de dépôts Git (GitHub et GitLab) comme infrastructure de commande et contrôle.

Selon Reuters, Kimsuky ne se contente plus d'employer l'IA générative pour fabriquer des leurres de phishing. Le groupe construit une capacité à intégrer des modèles existants dans le développement de malwares, l'analyse de données et l'automatisation des attaques. Une évolution qui marque un tournant dans les tactiques de piratage employées par Pyongyang.

Des documents d'appât créés par IA, d'un réalisme troublant

L'un des aspects les plus inquiétants concerne la production automatisée de documents de couverture. Traditionnellement, Kimsuky réutilisait des fichiers dérobés lors d'attaques précédentes pour servir de leurres dans de nouvelles campagnes de hameçonnage. Depuis 2026, les spécialistes constatent un changement de méthode : les pirates nord-coréens emploient systématiquement des documents créés par intelligence artificielle générative.

Les fichiers PDF analysés par Genians portaient sur des thématiques variées (actifs virtuels, investissement financier, développement de jeux vidéo) mais présentaient une structure et un style d'écriture remarquablement homogènes. L'examen des métadonnées a révélé des indices probants : l'auteur mentionné était « python-docx », une bibliothèque open-source Python largement utilisée pour générer automatiquement des documents Word, tandis que le créateur indiqué était « WPS 文字 », le traitement de texte de la suite bureautique WPS Office développée par l'entreprise chinoise Kingsoft.

Plus troublant encore, deux documents en anglais ont été créés et modifiés respectivement le 11 mars 2026 à 5h00:04 et le 24 mars 2026 à 5h00:44, avec des horodatages de création et de modification strictement identiques. Bien que produits à deux semaines d'intervalle, les deux fichiers ont été générés à 5 heures du matin, avec seulement quarante secondes d'écart. Une régularité qui trahit un processus automatisé.

Professionnels diplomatiques, académiques et financiers dans le viseur

Les attaques menées dans le cadre de l'opération GitPower visent principalement des professionnels et organisations œuvrant dans les domaines diplomatique, sécuritaire, académique et financier. Les fichiers malveillants, généralement des raccourcis LNK dissimulés dans des archives ZIP, imitent des documents officiels : rapports de recherche, invitations à des événements internationaux, demandes de paiement d'honoraires, correspondances d'ambassades ou encore matériels de réunion.

Genians a documenté plusieurs cas concrets d'e-mails de hameçonnage se faisant passer pour des demandes légitimes de paiement d'honoraires, des documents juridiques, des sollicitations pour réviser des articles de presse ou encore des correspondances urgentes émanant prétendument d'ambassades. L'un des exemples les plus sophistiqués impliquait un fichier nommé « OOOO July 2026 Practical Strategy Pack.pdf.lnk », conçu pour ressembler aux documents distribués par une plateforme fintech sud-coréenne proposant des services de stratégie d'investissement assistés par IA.

L'entreprise visée a d'ailleurs récemment publié un avertissement concernant des e-mails de phishing usurpant son identité et utilisant des titres tels que « Practical Strategy Pack for Real-World Application ». Dans un communiqué distinct intitulé « Notification and Apology Regarding the Exposure of Personal (Credit) Information », la société a également révélé que certaines informations clients avaient été exposées, offrant ainsi aux attaquants une base de données exploitable pour leurs campagnes d'ingénierie sociale.

GitHub et PowerShell au cœur d'une infrastructure technique complexe

L'architecture technique déployée par Kimsuky repose sur l'abus de dépôts Git comme canaux de distribution et serveurs de commande. Lorsqu'un utilisateur exécute le fichier LNK malveillant, des arguments de ligne de commande fortement obfusqués sont traités, déclenchant l'exécution d'un chargeur PowerShell embarqué. Les chercheurs ont identifié l'utilisation de multiples techniques d'obscurcissement : encodage Base64, fragmentation de chaînes de caractères et routines de décodage personnalisées.

Les équipes de sécurité doivent désormais surveiller plusieurs indicateurs de compromission : arguments d'exécution anormalement longs dans les fichiers LNK, décodage Base64 personnalisé, exécution dissimulée de PowerShell, tâches planifiées suspectes, accès à l'API GitHub Raw Contents, utilisation de jetons d'accès personnels (PAT) sans lien avec les opérations légitimes de l'entreprise, et charges utiles .NET chiffrées déguisées avec des extensions de fichiers image.

L'opération GitPower s'inscrit dans la continuité de la campagne « FlowerPower » révélée en 2023, partageant notamment l'utilisation d'un framework d'exécution basé sur PowerShell et l'exploitation intensive de dépôts Git. Elle présente également des liens avec les tactiques identifiées dans le rapport 2024 intitulé « Analysis of a Hacking Campaign Disguised as a New Year Opinion Column ».

Des marqueurs linguistiques caractéristiques de Pyongyang

L'analyse technique a permis d'identifier plusieurs marqueurs linguistiques caractéristiques de la Corée du Nord. Les chercheurs ont relevé l'utilisation de termes tels que « Arirang » (référence à une chanson folklorique coréenne emblématique), « 싸이트 » (transcription nord-coréenne de « site »), « 가입리력 » (historique d'inscription, orthographe nord-coréenne) et « 로출되였는지 » (forme verbale spécifique au dialecte nord-coréen signifiant « a été divulgué »).

Les particularités linguistiques, combinées aux horaires de création des documents (5 heures du matin, heure qui pourrait correspondre à des plages de travail dans le fuseau horaire de Pyongyang), renforcent l'attribution à des opérateurs basés en Corée du Nord. Les documents d'appât générés par IA présentaient par ailleurs des caractéristiques visuelles inhabituelles pour des matériels financiers conventionnels, notamment l'utilisation systématique d'emojis dans les zones de titre, un style graphique cohérent avec des mises en page, palettes de couleurs, structures de tableaux et règles de placement de sections uniformes.

Sanctions américaines et enjeux stratégiques

Le Département du Trésor américain a imposé en 2023 des sanctions contre le groupe Kimsuky, le décrivant comme une unité de cyber-espionnage contrôlée par le gouvernement nord-coréen et documentant des activités visant à soutenir les objectifs stratégiques de Pyongyang. Selon les autorités américaines et sud-coréennes ainsi que les experts en cybersécurité, la Corée du Nord utilise depuis des années des unités cybernétiques parrainées par l'État pour l'espionnage, le vol et la génération de revenus.

Les attaques récentes ciblent non seulement les missions diplomatiques étrangères, mais également les secteurs militaire, sécuritaire et des actifs virtuels (cryptomonnaies). L'intégration de l'intelligence artificielle dans l'arsenal cybercriminel représente une menace d'autant plus sérieuse qu'elle permet une montée en échelle des opérations : là où la création manuelle de documents d'appât convaincants prenait du temps et des ressources humaines, l'IA générative peut désormais produire des leurres hautement crédibles sur une vaste gamme de sujets en quelques minutes. Comme l'a souligné le Chosun Ilbo, l'automatisation des cyberattaques pourrait avoir des répercussions considérables sur la sécurité internationale.