La unidad de inteligencia de Microsoft (Microsoft Threat Intelligence) ha detectado una expansión notable en la adopción de tecnologías de inteligencia artificial por parte de grupos de ciberamenazas vinculados a Corea del Norte, con el objetivo de aumentar la velocidad, la eficiencia y la complejidad de sus ciberataques. Estos grupos utilizan la inteligencia artificial como un multiplicador de fuerza operativa, especialmente para acelerar y ampliar el alcance de los flujos de trabajo establecidos desde hace tiempo en los campos del phishing y la ingeniería de intrusión, sin que estas operaciones alcancen hasta ahora la etapa de autonomía total, ya que siguen estando sujetas a la gestión y dirección humana continua.
Microsoft clasifica los niveles de adopción de inteligencia artificial de estos grupos en varias etapas, que van desde las emergentes y en expansión hasta las etapas avanzadas y plenamente operativas (Operationalized). El seguimiento muestra que grupos como Jade Sleet, Coral Sleet y Jasper Sleet han integrado completamente la inteligencia artificial en sus operaciones diarias, las cuales incluyen ataques basados en la suplantación de identidad e ingeniería de phishing social dirigidos con precisión hacia objetivos técnicos y financieros.
Etapas de la implementación operativa de la inteligencia artificial
Los grupos norcoreanos dependen de las tecnologías de inteligencia artificial en diversas etapas del ataque, desde el reconocimiento de objetivos y la recopilación de información hasta la generación de contenido y el desarrollo de software malicioso. En este contexto, se ha observado a grupos como Onyx Sleet y Pearl Sleet empleando marcos de trabajo de agentes de inteligencia artificial de código abierto, como el marco de pruebas de penetración ARTEX, para ejecutar sus operaciones, lo que refleja la rapidez de respuesta en la adopción de tecnologías modernas tan pronto como están disponibles.
Además, los grupos utilizan herramientas de desarrollo respaldadas por inteligencia artificial, como la plataforma Cursor, para generar, convertir, corregir y reestructurar códigos de programación maliciosos. Esto ha permitido a algunos grupos acelerar el desarrollo de software y eludir las medidas de bloqueo y defensa impuestas por los sistemas de seguridad modernos mediante la adaptación rápida a los mecanismos de detección.
¿Qué cambia prácticamente en la naturaleza de los ataques?
El cambio más destacado que señala el informe es la capacidad de estas entidades para ampliar el alcance de las operaciones subversivas y atraer a las víctimas a tasas sin precedentes. Entre los métodos destacados se encuentran:
- Acelerar el reconocimiento previo de las organizaciones objetivo y extraer información detallada sobre los empleados para redactar mensajes de phishing e intrusión personalizados y altamente persuasivos.
- Generar decenas de archivos PDF y guías dirigidas en cuestión de minutos utilizando herramientas de generación automática para lanzar campañas de phishing intensivas.
- Construir identidades digitales falsas completas y currículos falsificados para apoyar las operaciones de infiltración y trabajo remoto en empresas tecnológicas e instituciones financieras con el fin de obtener retornos financieros que sirvan al régimen de Corea del Norte.
- Desarrollar capacidades de software malicioso, como el empleo de técnicas de compilación dinámica de códigos .NET para evadir la vigilancia de seguridad.
Medidas de protección y respuesta
Ante estas amenazas en evolución, Microsoft ha instado a las organizaciones a fortalecer sus estrategias de ciberdefensa mediante la activación de herramientas de protección integradas, como el panel de control de seguridad de inteligencia artificial (Security Dashboard for AI) y la plataforma de gestión de agentes de inteligencia artificial (Agent 365), además de aplicar políticas de gestión de vulnerabilidades, activar la supervisión automática en los paquetes de protección de puntos finales e imponer procedimientos de verificación estrictos al contratar solicitantes de empleo y evaluar sus antecedentes técnicos y digitales con precisión para evitar la infiltración a través de empresas intermediarias.