Gli hacker collegati alla Corea del Nord hanno usato ChatGPT per creare falsi documenti militari

Un gruppo di hacking finanziato dalla Corea del Nord chiamato Kimsuky ha usato ChatGPT per costruire un falso documento militare sudcoreano e ha lanciato un attacco di phishing che mirava a giornalisti, ricercatori e attivisti per i diritti umani, secondo l'azienda di cybersecurity Genians.

L'email contenente il documento deepfake conteneva malware progettato per rubare informazioni dai dispositivi dei destinatari. Questa campagna fa parte di un modello più ampio di operazioni cyber nordcoreane che usano l'IA per portare a termine spionaggio globale.

L'email di phishing era camuffata per sembrare provenire da un vero account militare, che terminava in .mil.kr. Non c'era allegato fotografico, nessuna immagine del documento. Invece, c'era un payload nascosto pronto a infettare il sistema del bersaglio.

Genians ha confermato che il falso documento militare è stato generato utilizzando ChatGPT dopo aver aggirato le restrizioni della piattaforma. Quando gli è stato chiesto di generare il documento direttamente, lo strumento ha inizialmente rifiutato. Ma i ricercatori sono riusciti a aggirare il blocco modificando il modo in cui il prompt è stato scritto.

Una volta riscritto il prompt, il sistema ha prodotto una bozza convincente, sufficiente a indurre le vittime a cliccare sul malware incorporato.

Gli strumenti di IA aiutano gli hacker nordcoreani a creare falsi CV, identità e malware

La stessa strategia non si è limitata alla Corea del Sud. Ad agosto, l'azienda di IA Anthropic ha detto che ha trovato hacker nordcoreani che usavano il suo modello Claude Code per candidarsi a lavori remoti con aziende Fortune 500 statunitensi.

Gli hacker hanno usato Claude per superare i colloqui di programmazione, creare storie lavorative complete e persino svolgere compiti tecnici dopo essere stati assunti. L'operazione ha dato alla Corea del Nord accesso diretto ai sistemi aziendali negli USA senza bisogno di superare alcun firewall.

A febbraio, OpenAI ha bannato account collegati alla Corea del Nord che avevano usato i suoi strumenti per creare falsi CV, lettere di presentazione e post sui social media. Questi profili erano progettati per ingannare le persone affinché aiutassero le campagne del regime, consapevolmente o meno.

Mun Chong-hyun, direttore presso Genians, ha detto che queste nuove tecniche mostrano come la Corea del Nord abbia ora integrato l'IA in ogni fase del processo di hacking, dalla pianificazione e creazione di strumenti al phishing e all'impersonificazione.

"Gli attaccanti possono usare l'IA per mappare scenari, scrivere malware e persino fingere di essere recruiter", ha detto Mun. Il governo degli Stati Uniti ha detto che gli sforzi cyber della Corea del Nord fanno parte di un'operazione più grande.

Credono che il regime di Pyongyang stia usando l'hacking, il furto di crypto e contratti IT ombra per raccogliere dati, raccogliere intelligence e generare fondi per sostenere il suo programma di armi nucleari mentre elude le sanzioni internazionali.

Nel 2020, il Dipartimento della Sicurezza Interna degli Stati Uniti ha emesso un avviso formale descrivendo Kimsuky come "probabilmente incaricato dal regime nordcoreano di una missione di raccolta di intelligence globale".

Il gruppo è attivo dal 2012 e ha concentrato i suoi attacchi su esperti di politica estera, think tank e agenzie governative in Corea del Sud, Giappone e Stati Uniti.

La maggior parte del tempo, usano email di spearphishing per entrare nei sistemi, estrarre informazioni sensibili e monitorare discussioni di alto livello su strategia nucleare, sanzioni e sicurezza regionale.

Gli ufficiali statunitensi e sudcoreani avvertono di una minaccia in aumento

I Genians rapporto hanno anche confermato che le ultime vittime sono state scelte con cura. Gli hacker hanno preso di mira persone con forti legami con questioni relative alla Corea del Nord, come attivisti, giornalisti e ricercatori della difesa. Resta ignoto il numero effettivo di dispositivi compromessi.

Ma il fatto che siano riusciti a spoofare un dominio di posta elettronica militare sudcoreano e a inserire malware in un messaggio apparentemente innocuo mostra quanto sia pericoloso questo metodo.

Durante le indagini, Genians ha cercato di replicare il metodo degli hacker utilizzando loro stessi ChatGPT. Il loro esperimento ha confermato che, sebbene ChatGPT sia progettato per bloccare contenuti illegali come documenti di identità falsi, gli attaccanti sono riusciti a aggirarlo con lievi modifiche al linguaggio.

Il risultato finale è stato un modello di documento di identità che non sembrava sospetto finché non era troppo tardi.

CISA, FBI e CNMF hanno ora esortato chiunque lavori in settori sensibili legati alla Corea del Nord a rafforzare la propria sicurezza. Hanno avvertito che Kimsuky continua a utilizzare il phishing, account falsi di reclutatori e domini spoofati per infiltrarsi nelle reti.

I loro suggerimenti principali includono l'abilitazione dell'autenticazione multi-fattore, l'implementazione di formazione sulla consapevolezza del phishing e l'impostazione di filtri più robusti per le email sospette.

La comunità dell'intelligence degli Stati Uniti da tempo sostiene che le operazioni informatiche siano ora uno degli strumenti principali della Corea del Nord per eludere le sanzioni.