Die Intelligence-Einheit von Microsoft (Microsoft Threat Intelligence) hat eine bemerkenswerte Ausweitung der Nutzung von KI-Technologien durch nordkoreanische Cyber-Bedrohungsgruppen festgestellt, mit dem Ziel, die Geschwindigkeit, Effizienz und Komplexität ihrer Cyberangriffe zu erhöhen. Diese Gruppen nutzen KI als Multiplikator für ihre operative Stärke, insbesondere um langjährige Arbeitsabläufe in den Bereichen Phishing und Social Engineering zu beschleunigen und zu skalieren. Diese Operationen erreichen jedoch noch nicht das Stadium der vollständigen Autonomie, da sie weiterhin der ständigen menschlichen Verwaltung und Steuerung unterliegen.
Microsoft klassifiziert die KI-Adoptionsstufen dieser Gruppen in verschiedene Phasen, die von aufstrebend und expandierend bis hin zu fortgeschrittenen und vollständig operationalisierten Stufen reichen. Die Beobachtungen zeigen, dass Gruppen wie Jade Sleet, Coral Sleet und Jasper Sleet KI vollständig in ihre täglichen operativen Abläufe integriert haben, einschließlich Angriffen, die auf Identitätsdiebstahl und präzise auf technische und finanzielle Ziele ausgerichtetes Social Engineering setzen.
Phasen des operativen KI-Einsatzes
Die nordkoreanischen Gruppen setzen KI-Technologien in verschiedenen Phasen des Angriffs ein, von der Aufklärung der Ziele und der Datensammlung bis hin zur Generierung von Inhalten und der Entwicklung von Schadsoftware. In diesem Zusammenhang wurde beobachtet, dass Gruppen wie Onyx Sleet und Pearl Sleet Open-Source-Frameworks für KI-Agenten wie das Penetrationstest-Framework ARTEX für ihre Operationen nutzen, was die schnelle Reaktion bei der Einführung moderner Technologien unmittelbar nach deren Verfügbarkeit widerspiegelt.
Darüber hinaus nutzen die Gruppen KI-gestützte Entwicklungstools wie die Cursor-Plattform, um Schadcode zu generieren, zu konvertieren, zu korrigieren und umzustrukturieren. Dies hat es einigen Gruppen ermöglicht, die Softwareentwicklung zu beschleunigen und Sperr- sowie Abwehrmaßnahmen moderner Sicherheitssysteme durch schnelle Anpassung an Erkennungsmechanismen zu umgehen.
Was ändert sich praktisch an der Art der Angriffe?
Die bemerkenswerteste Veränderung, die der Bericht feststellt, ist die Fähigkeit dieser Akteure, den Umfang destruktiver Operationen zu erweitern und Opfer in beispiellosem Ausmaß zu ködern. Zu den herausragenden Methoden gehören:
- Beschleunigung der Vorab-Aufklärung über Zielorganisationen und Extraktion detaillierter Informationen über Mitarbeiter, um maßgeschneiderte und hochgradig überzeugende Phishing- und Eindringungsnachrichten zu verfassen.
- Generierung von Dutzenden von PDF-Dateien und zielgerichteten Anleitungen innerhalb weniger Minuten unter Verwendung automatisierter Generierungstools für intensive Phishing-Kampagnen.
- Aufbau vollständiger gefälschter digitaler Identitäten und Lebensläufe zur Unterstützung von Infiltrationen und Fernarbeit in Technologieunternehmen und Finanzinstituten, um finanzielle Erträge zu erzielen, die dem Regime in Nordkorea dienen.
- Entwicklung von Fähigkeiten für Schadsoftware, wie etwa der Einsatz dynamischer Kompilierungstechniken für .NET-Codes, um der Sicherheitsüberwachung zu entgehen.
Schutz- und Abwehrmaßnahmen
Angesichts dieser hochentwickelten Bedrohungen hat Microsoft Organisationen dazu aufgerufen, ihre Cyber-Abwehrstrategien zu stärken. Dies soll durch die Aktivierung integrierter Schutztools wie dem Security Dashboard for AI und der Agent 365-Plattform geschehen. Zudem sollten Schwachstellenmanagement-Richtlinien angewendet, die automatische Überwachung in Endpunktschutzpaketen aktiviert und strenge Verifizierungsverfahren bei der Einstellung von Bewerbern durchgesetzt werden, um deren technische und digitale Hintergründe präzise zu bewerten und eine Infiltration über Vermittlungsfirmen zu verhindern.