Des pirates informatiques liés à la Corée du Nord ont utilisé ChatGPT pour créer de fausses identités militaires

Un groupe de pirates informatiques soutenu par la Corée du Nord, appelé Kimsuky, a utilisé ChatGPT pour créer une fausse carte d'identité militaire sud-coréenne et a lancé une attaque par hameçonnage ciblant des journalistes, des chercheurs et des défenseurs des droits humains, selon le cabinet de cybersécurité Genians.

L'e-mail contenant la fausse identité comportait un logiciel malveillant conçu pour voler des informations sur les appareils des destinataires. Cette campagne s'inscrit dans un schéma plus large d'opérations cybernétiques nord-coréennes utilisant l'IA pour mener des espionnages à l'échelle mondiale.

L'e-mail de hameçonnage était déguisé pour sembler provenir d'un compte militaire réel, se terminant par .mil.kr. Il n'y avait pas de pièce jointe photo, pas d'image de la carte d'identité. À la place, il y avait une charge utile cachée prête à infecter le système de la cible.

Genians a confirmé que la fausse carte d'identité militaire a été générée en utilisant ChatGPT après avoir contourné les restrictions de la plateforme. Lorsqu'on a demandé à l'outil de générer directement la carte d'identité, il a initialement refusé. Mais les chercheurs ont réussi à contourner le blocage en modifiant la façon dont la demande était formulée.

Une fois la demande réécrite, le système a produit un projet convaincant, suffisant pour inciter les victimes à cliquer sur le logiciel malveillant intégré.

Les outils d'IA aident les pirates informatiques nord-coréens à créer de faux CV, identités et logiciels malveillants

La même stratégie n'était pas limitée à la Corée du Sud. En août, l'entreprise d'IA Anthropic a déclaré avoir découvert des pirates informatiques nord-coréens utilisant son modèle Claude Code pour postuler à des emplois à distance auprès d'entreprises américaines du Fortune 500.

Les pirates ont utilisé Claude pour réussir des entretiens techniques, créer des historiques de travail complets et même effectuer des assignments techniques après avoir été embauchés. L'opération a donné à la Corée du Nord un accès direct aux systèmes d'entreprise aux États-Unis sans avoir besoin de franchir de pare-feu.

En février, OpenAI a banni des comptes liés à la Corée du Nord qui avaient utilisé ses outils pour créer de faux CV, lettres de motivation et publications sur les réseaux sociaux. Ces profils étaient conçus pour tromper les personnes afin qu'elles aident les campagnes du régime, consciemment ou non.

Mun Chong-hyun, directeur chez Genians, a déclaré que ces nouvelles techniques montrent comment la Corée du Nord a désormais intégré l'IA à chaque étape du processus de piratage, de la planification et de la création d'outils au hameçonnage et à l'usurpation d'identité.

« Les attaquants peuvent utiliser l'IA pour cartographier des scénarios, écrire des logiciels malveillants et même se faire passer pour des recruteurs », a déclaré Mun. Le gouvernement américain a déclaré que les efforts cybernétiques de la Corée du Nord font partie d'une opération plus large.

Ils estiment que le régime de Pyongyang utilise le piratage, le vol de cryptomonnaies et des contrats d'IT fantômes pour collecter des données, rassembler des renseignements et générer des fonds afin de soutenir son programme d'armes nucléaires tout en contournant les sanctions internationales.

Déjà en 2020, le Département de la Sécurité intérieure des États-Unis a publié un avis officiel décrivant Kimsuky comme étant « très probablement chargé par le régime nord-coréen d'une mission mondiale de collecte de renseignements ».

Le groupe est actif depuis 2012 et a concentré ses attaques sur des experts en politique étrangère, des think tanks et des agences gouvernementales en Corée du Sud, au Japon et aux États-Unis.

La plupart du temps, ils utilisent des e-mails de hameçonnage ciblé pour pénétrer dans les systèmes, extraire des informations sensibles et suivre les discussions de haut niveau sur la stratégie nucléaire, les sanctions et la sécurité régionale.

Les responsables américains et sud-coréens mettent en garde contre une menace croissante

Le cabinet Genians rapport a également confirmé que les dernières victimes ont été soigneusement choisies. Les pirates ont ciblé des personnes ayant des liens forts avec les questions entourant la Corée du Nord, telles que des activistes, des journalistes et des chercheurs en défense. On ignore encore combien d'appareils ont été réellement compromis.

Mais le fait qu'ils aient pu usurper le domaine d'e-mail militaire sud-coréen et insérer un logiciel malveillant dans un message apparemment inoffensif montre à quel point cette méthode est dangereuse.

Pendant l'enquête, Genians a essayé de reproduire la méthode des pirates en utilisant eux-mêmes ChatGPT. Leur expérience a confirmé que bien que ChatGPT soit conçu pour bloquer le contenu illégal comme les fausses identités gouvernementales, les attaquants ont toujours pu le contourner avec de légères modifications linguistiques.

Le résultat final était un modèle de carte d'identité qui ne semblait pas suspect jusqu'à ce qu'il soit trop tard.

La CISA, le FBI et le CNMF ont maintenant exhorté toute personne travaillant dans des domaines sensibles liés à la Corée du Nord à renforcer sa sécurité. Ils ont averti que Kimsuky continue d'utiliser le hameçonnage, de faux comptes de recruteurs et des domaines usurpés pour pénétrer dans les réseaux.

Leurs principales suggestions incluent l'activation de l'authentification multi-facteurs, la mise en œuvre de formations de sensibilisation au hameçonnage et la mise en place de filtres plus robustes pour les e-mails suspects.

La communauté du renseignement américaine a longtemps affirmé que les opérations cybernétiques sont désormais l'un des principaux outils de la Corée du Nord pour contourner les sanctions.