Подразделение Microsoft Threat Intelligence зафиксировало заметное расширение использования технологий искусственного интеллекта северокорейскими кибергруппировками с целью повышения скорости, эффективности и сложности их кибератак. Эти группы используют ИИ как множитель операционной силы, особенно для ускорения и масштабирования давно существующих рабочих процессов в области фишинга и социальной инженерии. Однако эти операции пока не достигли стадии полной автономности, оставаясь под постоянным контролем и руководством человека.
Microsoft классифицирует уровни внедрения ИИ этими группами по нескольким этапам: от начального и расширяющегося до продвинутого и полностью операционализированного (Operationalized). Мониторинг показывает, что такие группы, как Jade Sleet, Coral Sleet и Jasper Sleet, полностью интегрировали ИИ в свои повседневные операционные процессы, включая атаки, основанные на краже личности, и методы социальной инженерии, точно нацеленные на технические и финансовые объекты.
Этапы операционного использования ИИ
Северокорейские группы используют технологии ИИ на различных этапах атаки: от разведки целей и сбора информации до генерации контента и разработки вредоносного ПО. В этом контексте было замечено, что такие группы, как Onyx Sleet и Pearl Sleet, используют фреймворки ИИ-агентов с открытым исходным кодом, такие как фреймворк для тестирования на проникновение ARTEX, для выполнения своих операций, что отражает быстроту реакции при внедрении современных технологий сразу после их появления.
Кроме того, группы используют инструменты разработки на базе ИИ, такие как платформа Cursor, для генерации, преобразования, исправления и реструктуризации вредоносного кода. Это позволило некоторым группам ускорить разработку программного обеспечения и обходить меры защиты, налагаемые современными системами безопасности, за счет быстрой адаптации к механизмам обнаружения.
Что практически меняется в характере атак?
Наиболее заметный сдвиг, зафиксированный в отчете, заключается в способности этих субъектов расширять масштабы деструктивных операций и вовлекать жертв с беспрецедентной скоростью. Среди примечательных методов:
- Ускорение предварительной разведки целевых организаций и извлечение подробной информации о сотрудниках для составления персонализированных и высокоубедительных фишинговых сообщений.
- Генерация десятков PDF-файлов и руководств за считанные минуты с использованием инструментов автоматической генерации для проведения масштабных фишинговых кампаний.
- Создание полноценных фальшивых цифровых личностей и поддельных резюме для поддержки операций по проникновению и удаленной работе в технологических компаниях и финансовых учреждениях с целью получения финансовых доходов, обслуживающих режим в Северной Корее.
- Развитие возможностей вредоносного ПО, например, использование методов динамической компиляции кода .NET для уклонения от обнаружения системами безопасности.
Меры защиты и противодействия
Столкнувшись с этими развивающимися угрозами, Microsoft призвала организации усилить стратегии киберзащиты путем активации встроенных инструментов защиты, таких как панель управления безопасностью ИИ (Security Dashboard for AI) и платформа управления ИИ-агентами (Agent 365). Также рекомендуется применять политики управления уязвимостями, активировать автоматический мониторинг в пакетах защиты конечных точек и внедрять строгие процедуры проверки при найме кандидатов, тщательно оценивая их технический и цифровой бэкграунд для предотвращения проникновения через посреднические компании.