Хакеры, связанные с Северной Кореей, использовали ChatGPT для создания поддельных военных удостоверений

Группа хакеров, поддерживаемая Северной Кореей, под названием Kimsuky, использовала ChatGPT для создания поддельного военного удостоверения Южной Кореи и запустила фишинговую атаку, нацеленную на журналистов, исследователей и правозащитников, сообщает компания по кибербезопасности Genians.

Электронное письмо, содержащее поддельное удостоверение, содержало вредоносное ПО, предназначенное для кражи информации с устройств получателей. Эта кампания является частью более широкой модели киберопераций Северной Кореи, использующих ИИ для проведения глобальной шпионажной деятельности.

Фишинговое письмо было замаскировано так, чтобы выглядеть так, будто оно отправлено с реального военного аккаунта, заканчивающегося на .mil.kr. Не было прикрепленного фото, не было изображения удостоверения. Вместо этого был скрытый payload, готовый заразить систему цели.

Genians подтвердила, что поддельное военное удостоверение было сгенерировано с использованием ChatGPT после обхода ограничений платформы. Когда попросили сгенерировать удостоверение напрямую, инструмент изначально отказался. Но исследователям удалось обойти блокировку, изменив формулировку запроса.

После переформулирования запроса система создала убедительный черновик, достаточный для того, чтобы заманить жертв на клик по встроенному вредоносному ПО.

Инструменты ИИ помогают хакерам из Северной Кореи создавать поддельные резюме, личности и вредоносное ПО

Та же стратегия не ограничивалась Южной Кореей. В августе компания Anthropic заявила, что обнаружила хакеров из Северной Кореи, использующих ее модель Claude Code для подачи заявок на удаленную работу в американских компаниях из списка Fortune 500.

Хакеры использовали Claude для прохождения технических собеседований, создания полных историй работы и даже выполнения технических заданий после найма. Эта операция дала Северной Корее прямой доступ к корпоративным системам внутри США без необходимости пробивать брандмауэры.

В феврале OpenAI заблокировал аккаунты, связанные с Северной Кореей, которые использовали ее инструменты для создания поддельных резюме, сопроводительных писем и постов в социальных сетях. Эти профили были разработаны, чтобы обмануть людей, заставив их помогать кампаниям режима, сознательно или нет.

Мун Чон Хён, директор Genians, сказал, что эти новые техники показывают, как Северная Корея теперь интегрировала ИИ на каждом этапе процесса взлома, от планирования и создания инструментов до фишинга и маскировки.

«Атакующие могут использовать ИИ для картирования сценариев, написания вредоносного ПО и даже притворения рекрутерами», — сказал Мун. Правительство США заявило, что киберусилия Северной Кореи являются частью более крупной операции.

Они считают, что режим в Пхеньяне использует взломы, кражу криптовалюты и теневые ИТ-контракты для сбора данных, разведывательной информации и генерации средств для поддержки своей ядерной программы, уклоняясь от международных санкций.

Еще в 2020 году Министерство внутренней безопасности США выпустило официальное предупреждение, описывающее Kimsuky как «наиболее вероятно нанятую северокорейским режимом для глобальной миссии по сбору разведывательной информации».

Группа активна с 2012 года и сосредоточила свои атаки на экспертах по внешней политике, аналитических центрах и правительственных учреждениях в Южной Корее, Японии и Соединенных Штатах.

Большую часть времени они используют целевые фишинговые письма для проникновения в системы, извлечения конфиденциальной информации и отслеживания высокоуровневых обсуждений ядерной стратегии, санкций и региональной безопасности.

Официальные лица США и Южной Кореи предупреждают о растущей угрозе

Genians отчете также подтвердила, что последние жертвы были тщательно выбраны. Хакеры нацеливались на людей с сильными связями с вопросами, касающимися Северной Кореи, такими как активисты, журналисты и исследователи в области обороны. Пока неизвестно, сколько устройств было фактически скомпрометировано.

Но тот факт, что они смогли подделать домен электронной почты южнокорейской армии и внедрить вредоносное ПО в看似 безобидное сообщение, показывает, насколько опасен этот метод.

Во время расследования Genians попыталась воспроизвести метод хакеров, используя сам ChatGPT. Их эксперимент подтвердил, что, хотя ChatGPT разработан для блокировки незаконного контента, такого как поддельные государственные удостоверения, атакующие все же смогли обойти его с незначительными изменениями в языке.

Конечным результатом стал шаблон удостоверения, который не выглядел подозрительно, пока не стало слишком поздно.

CISA, ФБР и CNMF теперь призывают всех, кто работает в чувствительных областях, связанных с Северной Кореей, усилить свою безопасность. Они предупредили, что Kimsuky продолжает использовать фишинг, поддельные аккаунты рекрутеров и поддельные домены для проникновения в сети.

Их основные предложения включают включение многофакторной аутентификации, внедрение обучения по осведомленности о фишинге и настройку более сильных фильтров для подозрительных писем.

Американское разведывательное сообщество давно заявляет, что кибероперации теперь являются одним из основных инструментов Северной Кореи для обхода санкций.