Звіт Microsoft: Північнокорейські хакери використовують ШІ для масового створення фішингових документів за кілька хвилин

Автор: Shenchao TechFlow

Вступ від Shenchao: Кібернетична боротьба зазнає кардинальних змін завдяки генеративному ШІ. 30 жовтня відділ загроз Microsoft опублікував важливий звіт, в якому систематизовано серйозну ситуацію з розширенням використання ШІ північнокорейськими хакерськими групами. Серед восьми організацій, що перебувають під наглядом, три вже глибоко інтегрували ШІ в повсякденні процеси проникнення.

Від масового створення персоналізованих PDF-фішингів за кілька хвилин до використання інструментів програмування на базі ШІ для написання шкідливого коду, ефективність і прихованість дій зловмисників досягли нового рівня. Ще більш небезпечним є те, що ланцюги фальшивих вакансій та маскування особистості тепер піддаються обробці ШІ, що робить традиційні системи захисту беззахисними.

Хоча Microsoft вважає, що відповідні організації ще не досягли повної автономії в атаках, практичне використання відкритих ШІ-інструментів для проникнення вже оголосило про прихід інтелектуальної кібернетичної війни. Ця зміна в моделі атак і захисту ставить перед світовими компаніями нові виклики в сфері захисту кінцевих точок, перевірки постачальників та аудиту документів.

Звичайне використання ШІ для проникнення: Microsoft визначає три основні групи з найвищими рейтингами

За повідомленням ;Корейського агентства новин;, відділ загроз Microsoft нещодавно опублікував спеціальний дослідницький звіт, в якому детально розглянуто останні тенденції розширення використання ШІ північнокорейськими хакерами, що охоплює фішингові атаки, маскування особистості, створення шкідливого коду та отруєння програмного забезпечення.

Microsoft провела систематичний аналіз активних восьми основних північнокорейських хакерських груп. Тривожним є те, що три з цих груп вже завершили глибоку інтеграцію інструментів ШІ з повсякденними процесами атак, досягнувши найвищого рівня в моделі зрілості застосування ШІ для кіберзагроз, визначеній Microsoft.

Дослідження показало, що використання ШІ вже не обмежується концептуальним підтвердженням, а охоплює весь ланцюг, включаючи попереднє розвідку, соціальну інженерію, маскування особистості, написання шкідливого програмного забезпечення та отруєння програмного забезпечення, що свідчить про якісну зміну тактики та методів національних APT-організацій.

За кілька хвилин створення десятків: високоіндивідуалізовані PDF-фішинги точно проникають у захист

На рівні соціальної інженерії ШІ повністю зруйнував мовні та культурні бар'єри, які раніше існували в міжконтинентальних атаках. Звіт підкреслює, що в період з серпня по вересень цього року одна з організацій спеціально націлилася на корейську цільову групу, створивши понад 100 високоіндивідуалізованих PDF-фішингових документів.

Завдяки можливостям генерації тексту та верстки великих мовних моделей, зловмисники в деяких реальних сценаріях можуть за кілька хвилин безперервно створювати десятки нових фішингів. Ці підроблені документи є надзвичайно правдоподібними в граматичному вираженні, форматі офіційних документів та деталях контексту, що значно підвищує ймовірність кліків і попадання жертв.

Ця здатність до промислового масового виробництва фішингів знижує граничні витрати на фішингові атаки до нуля. Традиційні системи безпеки, що базуються на статичних характеристиках документів і збігах ключових слів, стикаються з безпрецедентними проблемами пропуску та ідентифікації, коли стикаються з величезними та абсолютно новими AI-варіантами фішингів.

Фальшиві особи та допомога в написанні коду: багатовимірне розширення чорного ринку

Окрім фішингових документів, ШІ також широко використовується у фальшивих вакансіях та маскуванні особистості. Хакери використовують моделі для підробки резюме з метою проникнення в технологічні компанії. (Більше деталей можна знайти в статті ";Міністерство фінансів США посилює боротьбу з північнокорейським криптовалютним відмиванням: санкції проти 10 осіб та 1 юридичної особи;")

На рівні атак і захисту Microsoft спостерігає, що команди атак можуть використовувати такі популярні AI-інструменти програмування, як Cursor, щоб значно прискорити написання основної логіки шкідливого програмного забезпечення та налагодження без виявлення. Доступність інструментів не лише скорочує час розробки, але й стирає індивідуальні звички написання коду хакерів.

Більш того, елітні організації Onyx Sleet та Pearl Sleet, що підпорядковуються Головному управлінню розвідки Північної Кореї, з кінця жовтня вже підтверджено, що впровадили відкритий фреймворк для тестування на проникнення ARTEX у своїх операціях, використовуючи результати червоних команд з відкритої екосистеми для автоматизованого виявлення цільових мереж.

Критична точка автономії наближається: глобальна кібербезпека переходить до інтелектуальної боротьби

Хоча інструменти зловмисників стають дедалі досконалішими, Microsoft у звіті також надає відносно раціональні межі оцінки. Експерти зазначають, що наразі північнокорейські хакерські організації не мають можливостей для реалізації повністю автономних атак, а ШІ на даному етапі все ще виконує роль множника ефективності та допоміжного водія.

Але це не означає, що галузь безпеки може розслабитися. Від ручного налаштування одноточкових скриптів до спільного запуску складних цілеспрямованих атак, часові вікна на обох сторонах атаки та захисту різко скорочуються. Захисники повинні швидко перейти від традиційного пасивного реагування до динамічного моніторингу на основі поведінки ШІ.

З розвитком відкритих великих моделей та технологій розуміння на краю, кібернетичні атаки на критичну інфраструктуру та криптовалютні фінансові системи стануть ще частішими. Глобальні організації терміново потребують зміцнення захисту в аудиторії постачальників, підвищення обізнаності співробітників щодо безпеки та впровадження багатофакторної аутентифікації, щоб протистояти майбутнім інтелектуальним кібернетичним бурям.