L'unité de renseignement de Microsoft (Microsoft Threat Intelligence) a observé une expansion notable de l'adoption des technologies d'intelligence artificielle par les groupes de cybermenaces liés à la Corée du Nord, dans le but d'accroître la vitesse, l'efficacité et la complexité de leurs cyberattaques. Ces groupes exploitent l'intelligence artificielle comme un multiplicateur de force opérationnelle, notamment pour accélérer et étendre les flux de travail établis de longue date dans les domaines du phishing et de l'ingénierie sociale, sans que ces opérations n'atteignent pour l'instant le stade de l'autonomie complète, car elles restent soumises à une gestion et une direction humaines constantes.
Microsoft classe les niveaux d'adoption de l'intelligence artificielle par ces groupes en plusieurs étapes, allant de l'émergence et de l'expansion jusqu'aux phases avancées et pleinement opérationnelles (Operationalized). Le suivi montre que des groupes tels que Jade Sleet, Coral Sleet et Jasper Sleet ont pleinement intégré l'intelligence artificielle dans leurs opérations quotidiennes, qui incluent des attaques basées sur l'usurpation d'identité et l'ingénierie sociale ciblée avec précision vers des objectifs techniques et financiers.
Étapes de l'emploi opérationnel de l'intelligence artificielle
Les groupes nord-coréens s'appuient sur les technologies d'intelligence artificielle à travers les différentes étapes de l'attaque, allant de la reconnaissance des cibles et la collecte d'informations jusqu'à la génération de contenu et le développement de logiciels malveillants. Dans ce contexte, des groupes tels que Onyx Sleet et Pearl Sleet ont été observés utilisant des frameworks d'agents d'intelligence artificielle open source, tels que le framework de test d'intrusion ARTEX, pour mener leurs opérations, ce qui reflète la rapidité de réaction dans l'adoption des technologies modernes dès leur disponibilité.
De plus, les groupes utilisent des outils de développement assistés par l'intelligence artificielle tels que la plateforme Cursor pour générer, convertir, corriger et restructurer des codes malveillants. Cela a permis à certains groupes d'accélérer le développement de logiciels et de contourner les mesures d'interdiction et de défense imposées par les systèmes de sécurité modernes grâce à une adaptation rapide aux mécanismes de détection.
Qu'est-ce qui change concrètement dans la nature des attaques ?
Le changement le plus marquant relevé par le rapport réside dans la capacité de ces entités à étendre l'échelle des opérations de sabotage et à piéger les victimes à des taux sans précédent. Parmi les méthodes notables :
- Accélération de la reconnaissance préalable des organisations ciblées et extraction d'informations détaillées sur les employés pour rédiger des messages de phishing et d'intrusion personnalisés et hautement convaincants.
- Génération de dizaines de fichiers PDF et de guides ciblés en quelques minutes à l'aide d'outils de génération automatique pour lancer des campagnes de phishing intensives.
- Construction d'identités numériques fictives complètes et de faux CV pour soutenir les opérations d'infiltration et le travail à distance dans des entreprises technologiques et des institutions financières afin d'obtenir des revenus financiers servant le régime en Corée du Nord.
- Développement des capacités des logiciels malveillants, comme l'emploi de techniques de compilation dynamique de codes .NET pour échapper à la surveillance de sécurité.
Mesures de protection et de riposte
Face à ces menaces évolutives, Microsoft a appelé les organisations à renforcer leurs stratégies de cyberdéfense en activant des outils de protection intégrés tels que le tableau de bord de sécurité pour l'IA (Security Dashboard for AI) et la plateforme de gestion des agents d'IA (Agent 365), en plus de l'application de politiques de gestion des vulnérabilités, de l'activation de la surveillance automatique dans les suites de protection des points de terminaison, et de l'imposition de procédures de vérification strictes lors de l'embauche de candidats et de l'évaluation précise de leurs antécédents techniques et numériques pour empêcher l'infiltration via des entreprises intermédiaires.