Un nuovo attacco informatico sta prendendo di mira sviluppatori e team di ingegneria nel settore blockchain e delle criptovalute. La campagna, attribuita al gruppo nordcoreano KONNI (noto anche come Opal Sleet, TA406 o Kimsuky), rappresenta un’evoluzione preoccupante nell’uso dell’intelligenza artificiale per creare strumenti malevoli più sofisticati.
Da ottobre 2025, i ricercatori di sicurezza hanno rilevato una serie di attacchi mirati principalmente in Giappone, Australia e India, segnalando un’espansione delle operazioni del gruppo nella regione Asia-Pacifico. Gli aggressori utilizzano una tecnica di spear-phishing, inviando file ZIP ospitati su Discord che contengono documenti PDF apparentemente legittimi ma che nascondono collegamenti malevoli (LNK). Quando attivati, questi file installano un backdoor in PowerShell la cui particolarità è l’uso di tecniche di offuscamento generate tramite intelligenza artificiale, specificamente modelli linguistici di grandi dimensioni (LLM), per eludere il rilevamento.
L’impatto potenziale di questa campagna è significativo. Una volta compromessi, gli ambienti di sviluppo delle vittime possono portare all’accesso all’infrastruttura aziendale, credenziali, portafogli digitali e, in ultima analisi, al furto di asset in criptovaluta. Gli attaccanti possono anche ottenere accesso remoto utilizzando strumenti di gestione remota (RMM), creando un ponte permanente nei sistemi compromessi.
Per proteggersi, le aziende del settore blockchain dovrebbero implementare rigorose pratiche di sicurezza, tra cui l’autenticazione a più fattori, aggiornamenti regolari dei sistemi, formazione dei dipendenti sul riconoscimento di email sospette e controlli di sicurezza avanzati specifici per rilevare attività anomale. È inoltre consigliabile eseguire scansioni di sicurezza regolari e implementare soluzioni di sicurezza endpoint capaci di rilevare comportamenti sospetti piuttosto che fare affidamento solo su firme di malware note.
- Punti chiave da ricordare:
- Il gruppo nordcoreano KONNI sta prendendo di mira sviluppatori blockchain in Asia-Pacifico con tecniche avanzate di attacco che sfruttano l’IA
- Gli attacchi iniziano con email di phishing contenenti file apparentemente innocui su Discord ma che portano all’installazione di backdoor sofisticati
- La protezione richiede un approccio multistrato: formazione del personale, autenticazione robusta e strumenti di sicurezza in grado di rilevare comportamenti anomali nei sistemi
Fonti:
Security Affairs – “North Korea-linked KONNI uses AI to build stealthy malware tooling”
Bleeping Computer – “KONNI hackers target blockchain engineers with AI-built malware”
Check Point Research – “KONNI targets developers with AI malware”
Fonte: The Hacker News