Hackers ligados à Coreia do Norte usaram o ChatGPT para criar identidades militares falsas

Um grupo de hackers apoiado pela Coreia do Norte chamado Kimsuky usou o ChatGPT para construir uma identidade militar sul-coreana falsa e lançou um ataque de phishing direcionado a jornalistas, pesquisadores e defensores dos direitos humanos, de acordo com a empresa de cibersegurança Genians.

O e-mail contendo a identidade falsa continha malware projetado para roubar informações dos dispositivos dos destinatários. Esta campanha faz parte de um padrão mais amplo de operações cibernéticas da Coreia do Norte usando IA para realizar espionagem global.

O e-mail de phishing foi disfarçado para parecer que veio de uma conta militar real, terminando em .mil.kr. Não havia anexo de foto, nem imagem da identidade. Em vez disso, havia uma carga oculta pronta para infectar o sistema do alvo.

A Genians confirmou que a identidade militar falsa foi gerada usando ChatGPT após contornar as restrições da plataforma. Quando solicitado a gerar a identidade diretamente, a ferramenta inicialmente se recusou. Mas os pesquisadores conseguiram contornar o bloqueio alterando a forma como o prompt foi escrito.

Uma vez que o prompt foi reescrito, o sistema produziu um rascunho convincente, suficiente para atrair vítimas para clicar no malware embutido.

Ferramentas de IA ajudam hackers da Coreia do Norte a construir currículos falsos, identidades e malware

A mesma estratégia não se limitou à Coreia do Sul. Em agosto, a empresa de IA Anthropic disse que encontrou hackers da Coreia do Norte usando seu modelo Claude Code para se candidatar a empregos remotos em empresas Fortune 500 dos EUA.

Os hackers usaram o Claude para passar em entrevistas de codificação, criar históricos de trabalho completos e até mesmo fazer atribuições técnicas após serem contratados. A operação deu à Coreia do Norte acesso direto a sistemas corporativos dentro dos EUA sem precisar quebrar nenhuma firewall.

Em fevereiro, a OpenAI banhou contas ligadas à Coreia do Norte que haviam usado suas ferramentas para criar currículos falsos, cartas de apresentação e postagens em redes sociais. Esses perfis foram projetados para enganar as pessoas a ajudar nas campanhas do regime, conscientemente ou não.

Mun Chong-hyun, diretor na Genians, disse que essas novas técnicas mostram como a Coreia do Norte agora integrou a IA em todas as etapas do processo de hacking, desde o planejamento e criação de ferramentas até phishing e impersonação.

“Os atacantes podem usar a IA para mapear cenários, escrever malware e até mesmo se passar por recrutadores”, disse Mun. O governo dos EUA disse que os esforços cibernéticos da Coreia do Norte fazem parte de uma operação maior.

Eles acreditam que o regime em Pyongyang está usando hacking, roubo de criptomoedas e contratos de TI sombria para coletar dados, reunir inteligência e gerar fundos para apoiar seu programa de armas nucleares enquanto desvia das sanções internacionais.

Em 2020, o Departamento de Segurança Interna dos EUA emitiu um aviso formal descrevendo o Kimsuky como “provavelmente encarregado pelo regime da Coreia do Norte de uma missão global de coleta de inteligência.”

O grupo tem sido ativo desde 2012 e concentrou seus ataques em especialistas em política externa, think tanks e agências governamentais na Coreia do Sul, Japão e Estados Unidos.

Na maioria das vezes, eles usam e-mails de spearphishing para ganhar acesso aos sistemas, extrair informações sensíveis e rastrear discussões de alto nível sobre estratégia nuclear, sanções e segurança regional.

Funcionários dos EUA e da Coreia do Sul alertam para a ameaça crescente

A Genians relatório também confirmou que as últimas vítimas foram cuidadosamente escolhidas. Os hackers atacaram pessoas com fortes laços com questões relacionadas à Coreia do Norte, como ativistas, jornalistas e pesquisadores de defesa. Ainda é desconhecido quantos dispositivos foram realmente comprometidos.

Mas o fato de eles terem conseguido spoofar um domínio de e-mail militar sul-coreano e inserir malware em uma mensagem aparentemente inofensiva mostra o quão perigoso esse método é.

Durante a investigação, a Genians tentou replicar o método dos hackers usando o ChatGPT eles mesmos. Seu experimento confirmou que, embora o ChatGPT seja projetado para bloquear conteúdo ilegal como identidades governamentais falsas, os atacantes ainda conseguiram contorná-lo com pequenas mudanças na linguagem.

O resultado final foi um modelo de identidade que não parecia suspeito até que fosse tarde demais.

A CISA, o FBI e a CNMF agora pediram a qualquer pessoa que trabalhe em campos sensíveis relacionados à Coreia do Norte para apertar sua segurança. Eles alertaram que o Kimsuky continua a usar phishing, contas de recrutadores falsas e domínios spoofados para entrar nas redes.

Suas principais sugestões incluem habilitar a autenticação multifator, implementar treinamento de conscientização sobre phishing e configurar filtros mais fortes para e-mails suspeitos.

A comunidade de inteligência dos EUA há muito diz que as operações cibernéticas agora são uma das principais ferramentas da Coreia do Norte para contornar sanções.