朝鲜Konni黑客利用AI构建的恶意软件针对区块链工程师

朝鲜黑客组织 Konni 现正使用人工智能生成的恶意软件针对区块链工程师。据报道，该黑客组织现正在部署 AI 生成的 PowerShell 恶意软件，利用它针对区块链行业的开发人员和工程师。

据信，朝鲜黑客组织自 2014 年至少以来一直在运营，并与 APT37 和 Kimusky 活动集群有关联。该 组织 针对分布在韩国、乌克兰、俄罗斯和几个其他欧洲国家的组织。根据 CheckPoint 研究人员分析的威胁样本，朝鲜黑客组织的最新活动针对的是亚太地区。

朝鲜 Konni 组织部署 AI 生成的恶意软件

在报告中，研究人员 声称，该恶意软件是由在日本、印度和澳大利亚发现它的用户提交的。攻击始于受害者收到一个 Discord 链接，该链接交付一个包含 PDF 诱饵和恶意 LNK 快捷方式文件的 ZIP 存档。LNK 运行一个嵌入的 PowerShell 加载器，提取一个 DOCX 文档和一个包含 PowerShell 后门、两个批处理文件和 UAC 绕过可执行文件的 CAB 存档。

快捷方式文件启动后，DOCX 打开并执行包含在 cabinet 文件中的批处理文件。诱饵 DOCX 文档显示，黑客希望破坏开发环境，这可能会为他们提供对敏感资产的访问权限，包括基础设施、API 凭据、钱包访问权限，最后是数字资产持有量。第一个批处理文件为后门创建暂存目录，第二个批处理文件。

此外，它还创建一个每小时计划的任务，模仿 OneDrive 的启动任务。该任务从磁盘读取 XOR 加密的 PowerShell 脚本并解密它以进行内存执行。完成所有这些步骤后，它会删除自身以抹去所有感染迹象。PowerShell 后门使用基于算术的字符串编码、运行时字符串重建以及使用 “Invoked-Expression” 执行最终逻辑来 heavily masks its origin（ heavily masks its origin 意为“严重掩盖其来源”）。

根据研究人员的说法，PowerShell 恶意软件表明存在 AI 辅助开发，而不是传统编写的恶意软件。显示这一点的证据包括脚本顶部的清晰和结构化文档，这在恶意软件开发中非常不寻常。此外，它具有干净和模块化的布局，以及文件中存在的 “# <– your permanent project UUID” 注释。CheckPoint 指出，这种措辞显示了朝鲜 黑客 由 LLM 生成代码的迹象。

CheckPoint 研究人员提供恶意软件详情

研究人员解释说，这种措辞还表明模型指导人类用户如何自定义占位符值。他们说，此类注释在 AI 生成的脚本和教程中很常见。在执行之前，恶意软件会执行硬件、软件和用户活动检查，以确保它不在分析环境中运行。一旦确定，它就会生成一个唯一的主机 ID。之后，它遵循指定的行动路径。

一旦后门完全激活并在受感染设备上运行，恶意软件会定期联系命令和控制（C2）服务器以发送主机元数据，并以随机间隔轮询服务器。如果 C2 包含 PowerShell 代码，它会变成脚本块并使用后台作业执行其活动。CheckPoint 指出，基于早期的加载器格式和诱饵名称，这些攻击可归因于朝鲜 Konni 威胁行为者。

此外，研究人员声称，除了具有相同的脚本名称重叠外，执行链结构中还有其他与早期攻击共同的元素。研究人员还发布了与此最近活动相关的妥协指标，以帮助防御者识别他们是否受到朝鲜 Konni 活动 的攻击，从而保护他们的资产。