A unidade de inteligência da Microsoft (Microsoft Threat Intelligence) observou uma expansão notável na adoção de tecnologias de inteligência artificial por grupos de ameaças cibernéticas ligados à Coreia do Norte, com o objetivo de aumentar a velocidade, a eficiência e a complexidade de seus ataques cibernéticos. Esses grupos utilizam a inteligência artificial como um multiplicador de força operacional, especialmente para acelerar e ampliar o escopo de fluxos de trabalho estabelecidos há muito tempo em áreas de phishing e engenharia de intrusão, sem que essas operações cheguem, até o momento, ao estágio de autonomia total, permanecendo sujeitas à gestão e orientação humana contínua.
A Microsoft classifica os níveis de adoção de inteligência artificial desses grupos através de várias etapas, que vão desde emergentes e em expansão até estágios avançados e totalmente operacionalizados (Operationalized). O monitoramento mostra que grupos como Jade Sleet, Coral Sleet e Jasper Sleet integraram totalmente a inteligência artificial em suas operações diárias, que incluem ataques baseados em falsificação de identidade e engenharia de phishing social direcionada com precisão a alvos técnicos e financeiros.
Estágios de emprego operacional da inteligência artificial
Os grupos norte-coreanos dependem de tecnologias de inteligência artificial em várias fases do ataque, desde o reconhecimento de alvos e coleta de informações até a geração de conteúdo e desenvolvimento de software malicioso. Nesse contexto, grupos como Onyx Sleet e Pearl Sleet foram vistos empregando estruturas de agentes de inteligência artificial de código aberto, como a estrutura de teste de intrusão ARTEX, para executar suas operações, o que reflete a rapidez de resposta na adoção de tecnologias modernas assim que elas se tornam disponíveis.
Além disso, os grupos utilizam ferramentas de desenvolvimento apoiadas por inteligência artificial, como a plataforma Cursor, para gerar, converter, corrigir e reestruturar códigos de software malicioso. Isso permitiu que alguns grupos acelerassem o desenvolvimento de software e contornassem medidas de bloqueio e defesa impostas por sistemas de segurança modernos através da adaptação rápida aos mecanismos de detecção.
O que muda na prática na natureza dos ataques?
A mudança mais notável observada pelo relatório é a capacidade dessas entidades de ampliar o escopo de operações destrutivas e atrair vítimas a taxas sem precedentes. Entre as táticas de destaque estão:
- Acelerar o reconhecimento prévio das organizações-alvo e extrair informações detalhadas sobre os funcionários para elaborar mensagens de phishing e intrusão personalizadas e altamente convincentes.
- Gerar dezenas de arquivos PDF e guias direcionados em poucos minutos usando ferramentas de geração automática para lançar campanhas de phishing intensivas.
- Construir identidades digitais falsas completas e currículos falsificados para apoiar operações de infiltração e trabalho remoto em empresas de tecnologia e instituições financeiras, a fim de obter retornos financeiros que sirvam ao regime na Coreia do Norte.
- Desenvolver capacidades de software malicioso, como o emprego de técnicas de compilação dinâmica de códigos .NET para evitar a detecção de segurança.
Medidas de proteção e resposta
Diante dessas ameaças em evolução, a Microsoft convocou as organizações a fortalecerem suas estratégias de defesa cibernética através da ativação de ferramentas de proteção integradas, como o painel de segurança de IA (Security Dashboard for AI) e a plataforma de gerenciamento de agentes de IA (Agent 365), além da implementação de políticas de gerenciamento de vulnerabilidades, ativação de monitoramento automático em pacotes de proteção de endpoints e imposição de procedimentos de verificação rigorosos ao contratar candidatos a empregos, avaliando seus antecedentes técnicos e digitais com precisão para evitar a infiltração através de empresas intermediárias.