Gumamit ng AI ang mga Hacker ng Hilagang Korea sa mga Phishing Attack Laban sa Militar ng Timog Korea

Bagong paggamit ng AI sa pamilyar na taktika ng Kimsuky

Gumamit ang grupong Kimsuky ng Hilagang Korea ng artificial intelligence upang pagandahin ang isang phishing campaign gamit ang mga kapani-paniwalang larawan ng mga ID card ng mga empleyado ng militar ng Timog Korea, ayon sa detalyadong pagsusuri ng isang kompanya ng cybersecurity sa Timog Korea. Hiniling sa mga tatanggap na suriin ang mga sample na disenyo ng ID para sa mga sibilyang kawani, isang kahilingang magmumukhang karaniwan sa loob ng isang burukrasya sa depensa. Mukhang lehitimong mga badge ang mga kalakip na larawan, ngunit ayon sa mga imbestigador, ginawa ang mga graphics gamit ang isang generative AI model at isinama sa malware na maaaring kumontrol sa computer ng biktima.

Nagpanggap ang mga email na nagmula sa isang institusyong may kaugnayan sa depensa na naatasang mag-isyu ng mga ID. Sinikap ng mga umaatake na mapanatag ang mga tatanggap sa pamamagitan ng paglakip ng mga PNG na larawan na kahawig ng mga draft na disenyo ng ID card. May mga file sa parehong daluyan ng pagpapadala na nagpaandar ng backdoor nang makipag-ugnayan ang isang target sa nilalaman. Malamang na ginawa ang mga larawan sa pamamagitan ng paghiling sa isang komersiyal na AI system na gumawa ng mga mockup para sa mga layunin ng pagsubok sa halip na mga tunay na kredensiyal, isang teknik na maaaring makalampas sa mga awtomatikong pananggalang.

Ginaya rin ng email address ng nagpadala ang isang pinagkakatiwalaang domain ng militar. Namataan ng mga imbestigador ang mga pekeng domain gaya ng .mli.kr, na kahawig ng opisyal na panlapi ng depensa ng Timog Korea na .mil.kr, upang malinlang ang mga tatanggap na naghahanap ng pamilyar na palatandaan. Karaniwang taktika sa social engineering ang ganitong maliliit na pagbabago, at mahirap mapansin ang mga ito kapag mabilis na sinusuri ng isang tao ang punô nitong inbox.

Unang natukoy noong kalagitnaan ng Hulyo ang campaign, kasunod ng naunang aktibidad kung saan gumamit ang parehong grupo ng pain na istilong ClickFix at naghatid ng kaparehong pamilya ng malware. Tila muling ginamit ang kaalamang nakuha sa mga naunang operasyon, na ngayon ay ipinares sa mga graphic na likha ng AI upang gawing mas kapani-paniwala ang kuwento. Kabilang sa mga target ang isang organisasyong may kaugnayan sa militar, gayundin ang mga mananaliksik, mamamahayag, at aktibistang nakatuon sa Hilagang Korea.

Paano gumana ang phishing scheme

Simple ang pain. Nakatanggap ang mga tatanggap ng mensaheng humihiling ng mabilisang pagsusuri sa mga sample na disenyo ng ID card. Naghatid ang isang ZIP archive o link sa pag-download ng isang larawan at isa o higit pang script. Nang buksan ang mga ito, nagpatakbo ang sunod-sunod na proseso ng code na kumonekta sa computer sa imprastraktura ng mga umaatake, nag-download ng mga karagdagang bahagi, at nagbigay sa mga ito ng malayuang kontrol. Nakatulong ang larawan na magmukhang hindi mapanganib na pagsusuri ng disenyo ang kahilingan.

Pag-iwas sa mga pananggalang ng AI gamit ang prompt injection

Tumatanggi ang karamihan sa mga pangunahing AI tool na gumawa ng mga ID na inisyu ng pamahalaan, dahil ilegal ang pagkopya ng mga naturang dokumento at nakatutulong ito sa pandaraya. Sa kasong ito, tila ipinakilala ng mga umaatake ang kanilang mga prompt bilang mga sample ng disenyo para sa panloob na mockup. Maaari nitong mahikayat ang isang modelo na ituring na hindi mapanganib ang kahilingan. Isa itong uri ng prompt injection o jailbreaking, kung saan ginagabayan ng isang user ang modelo upang malampasan ang mga tuntunin nito sa pamamagitan ng maingat na pagpili ng mga salitang nagbabago sa dating layunin ng kahilingan.

Paghahatid ng malware at sunod-sunod na panghihimasok

Nagkakaiba-iba ang paketeng inihatid. Sa isang naobserbahang kaso, may shortcut sa loob ng ZIP file na nagkunwaring karaniwang dokumento. Nang patakbuhin ito, naglunsad ito ng PowerShell command na kumonekta sa isang malayuang server, kumuha ng backdoor, at nag-download ng mapanlinlang na PNG ng ID card. Sa isa pang kaso, sabay na pinatakbo sa larawan ang isang batch file na pinangalanang LhUdPC3G.bat at nagpasimula ito ng mapaminsalang aktibidad, kabilang ang pagtatatag ng pananatili sa sistema at pagpapagana ng pagnanakaw ng data at malayuang kontrol.

Mga spear phishing email ang mga ito, at maingat sa detalye ang mga operator. Isinapersonal ang ilang archive gamit ang bahagyang itinagong tunay na pangalan ng tatanggap upang mapataas ang tiwala at mahikayat ang target na buksan ang kalakip. Pinagsama-sama ang pekeng larawan ng ID, pamilyar na uri ng kahilingan, at halos kaparehong domain ng nagpadala upang mapahupa ang pagdududa ng mga tatanggap.

Sino ang mga target ng Kimsuky, at bakit

Ilang taon nang sinusubaybayan ng mga ahensiya ng pamahalaan at mga pribadong mananaliksik ang Kimsuky bilang isang yunit ng pangangalap ng intelligence ng Hilagang Korea. Tinataya na nangangalap ang grupo ng impormasyon tungkol sa patakaran, militar, at teknolohiya na naaayon sa mga prayoridad ng estado. Kadalasang kabilang sa mga biktima nito ang mga ahensiya ng pamahalaan, institusyong may kaugnayan sa depensa, think tank, akademikong mananaliksik, mamamahayag, at mga organisasyon para sa karapatang pantao na nakatuon sa Hilagang Korea.

Noong Hunyo, idinetalye ng mga mananaliksik ang mga email na may temang ClickFix na humihimok sa mga user na pindutin ang isang button upang lutasin ang diumano'y problema. Hiniram ng campaign noong Hulyo ang parehong malware at marami sa kaparehong teknik, saka nagdagdag ng mga sample ng disenyo na likha ng AI upang patibayin ang pang-akit. Hindi ito malawakang pagpapadala. Isa itong maingat at nakatuong operasyon na naglalayong makapasok sa mga partikular na network at inbox.

Batay ang pagtukoy sa responsable sa kombinasyon ng teknikal at pangkontekstong ebidensiya, kabilang ang magkakatulad na code ng malware, muling paggamit ng imprastraktura, mga pattern ng wika, at pagpili ng mga target. Kaayon ang mga palatandaang ito ng aktibidad na dating iniuugnay sa Kimsuky. Tugma ang paraang ito sa matagal nang layuning makapasok sa mga lupon ng gumagawa ng patakaran, mangalap ng datos, at magpanatili ng akses sa mga institusyong masusing sumusubaybay sa Hilagang Korea.

Sinasamantala ng pagpapanggap bilang yunit na nag-iisyu ng mga ID card ang isang pamilyar na proseso sa trabaho. Karaniwang ipinapasuri sa iba ang mga dokumento ng pagkakakilanlan, madalas na may palitan ng opinyon tungkol sa mga font, larawan, at layout ang paggawa ng mga ito, at may kaakibat na dating awtoridad ang mga ito. Dahil dito, nagmumukhang pangkaraniwan ang kahilingang suriin ang isang sample.

Lumalawak na padron ng maling paggamit ng AI ng mga operator ng Hilagang Korea

Bahagi ang phishing operation ng mas malawak na padron. Noong Agosto, iniulat ng isang pangunahing developer ng AI na napigilan nito ang mga operatiba ng Hilagang Korea na gumamit ng modelo nito upang gumawa ng mga pekeng pagkakakilanlan, mag-aplay sa mga trabahong maaaring gawin nang malayuan sa mga kompanya ng teknolohiya sa Estados Unidos, at magsagawa pa ng teknikal na gawain matapos matanggap. Inilarawan din sa parehong ulat kung paano ipinagbawal ang mga account na may kaugnayan sa aktibidad na ito at kung paano in-update ng kompanya ang mga sistema nito sa pagtukoy ng mapaminsalang paggamit.

Nagbabala ang mga briefing sa seguridad sa Timog Korea at Estados Unidos na gumagamit ang mga aktor ng Hilagang Korea ng mga AI tool upang sumulat ng maayos na mga email, gumawa ng mga resume at cover letter, bumuo ng code, at lumikha ng mga persona na may propesyonal na larawan sa profile. Nagbibigay ang mga kakayahang ito sa iisang operator ng kinis na karaniwang taglay ng mas malaking pangkat. Bumaba na ang hadlang upang makapagsimula. Maaari na ngayong umasa sa AI ang isang taong may katamtamang kasanayang teknikal para sa gabay, mas mabilis na bumuo ng mga module ng malware, magsalin ng nilalaman sa Korean o Ingles na kasinayos ng gawa ng katutubong tagapagsalita, at lumikha ng mga biswal na materyal na papasa sa mabilisang pagsusuri.

Napansin ng mga analyst ng digital na tunggalian sa peninsula ang pagdami ng mga pag-atake sa mga institusyon ng Timog Korea. Binanggit ng mga pampublikong sanggunian noong 2023 ang milyun-milyong pagtatangka bawat araw laban sa mga sistema ng pamahalaan, na marami sa mga ito ay iniugnay sa aktibidad ng Hilagang Korea. Iniugnay naman ng magkakahiwalay na ulat ng United Nations at pananaliksik ng industriya ang mga yunit ng Hilagang Korea sa malalaking pagnanakaw ng cryptocurrency na ginagamit upang tustusan ang mga estratehikong programa. Bahagi ng iisang estratehiya upang mangalap ng intelligence at kumita sa kabila ng mga sanction ang mga insidente ng spear phishing, pandarayang may tulong ng AI sa pag-aaplay ng trabaho, at pagnanakaw sa pananalapi.

Bagaman nag-eeksperimento rin sa generative AI ang mga operator na nakabase sa China at iba pang aktor na may ugnayan sa mga estado, nakatuon dito ang mabilis na paggamit nito ng mga yunit ng Hilagang Korea para sa paniniktik at ilegal na pananalapi. Lumabo na ang hangganan sa pagitan ng phishing kit at content studio na tinutulungan ng AI. Ang mga gawaing dating nangangailangan ng mga pangkat ng designer, tagasalin, at developer ay maaari na ngayong buuin gamit ang mga prompt at ilang open-source tool.

Bakit nagiging mas kapani-paniwala ang social engineering dahil sa AI

Mahusay ang generative AI sa paggawa ng pulidong nilalaman kapag hinihingi. Sa konteksto ng phishing, nangangahulugan ito ng mga larawang, teksto, at code na iniangkop sa target na madla nang kaunti lamang ang pagsisikap. Nakababawas sa pag-iingat ng mambabasa ang kapani-paniwalang mockup ng badge o letterhead na may tatak ng institusyon. Nakagagawa ang isang modelong marunong sumulat sa pormal at burukratikong Korean, gumamit ng mga tamang acronym, at magpanatili ng magalang na tono ng mga mensaheng mukhang tunay at ganoon din ang dating.

Nagsisilbi rin ang mga language model bilang walang kapagurang katulong sa pagsusulat. Itinatama ng mga ito ang gramatika, ginagaya ang estilo ng isang institusyon, at pinananatiling pare-pareho ang tono sa maraming email. Maaaring humingi ang mga umaatake ng iba-ibang bersiyon ng iisang mensahe para sa magkakaibang tungkulin. Makagagawa ang isang modelo ng draft na mukhang karaniwang abiso para sa isang HR manager at isa pang parang teknikal na memo para sa isang IT lead.

Sa teknikal na aspeto, nakatutulong ang mga code assistant sa mga operator na kulang sa karanasan na pagdugtungin ang mga script at payload. Ipinapaliwanag ng mga modelo ang mga error, nagmumungkahi ng mga pag-aayos, at nagbibigay ng mga halimbawang gumagana. Kapag ginamit sa maling paraan, pinabibilis nito ang proseso at pinadadali ang pagkatuto sa paggawa ng malware. Kapag pinagsama ito sa pagbuo at pagsasalin ng teksto, makapagsasagawa ang iisang operator ng mga kampanyang maraming wika na mangangailangan sana ng isang pangkat noong mga nakaraang taon.

Isa pang pangunahing bahagi nito ang paglikha ng pagkakakilanlan. Makakatulong ang mga modelo sa pag-imbento ng mga kasaysayan sa trabaho, paggawa ng maayos na format na mga resume, at pagsulat ng mga cover letter na angkop sa mga bakanteng trabaho. Nakalilikha ang mga tool sa larawan ng mga profile photo na papasa sa mabilisang pagsusuri. Kapag pinagsama-sama, pinadadali ng mga kakayahang ito ang pandaraya sa email ng negosyo at pangmatagalang pagpasok sa mga sistema, hanggang makahabol ang mga pananggol na pantao at teknikal.

Depensa, pagtukoy, at mga tugon sa patakaran

In-update ng Timog Korea ang Pambansang Estratehiya sa Cybersecurity nito na nagbibigay-diin sa internasyonal na kooperasyon, paggamit ng makabagong teknolohiya, at mas matibay na depensa. Binibigyang-diin ng plano ang pagtukoy na pinapatakbo ng AI para sa real-time na pagsubaybay, mas malalim na pagbabahagi ng impormasyon sa mga katuwang, at pagpapahusay ng katatagan ng kritikal na imprastraktura. Isinusulong din ng Seoul ang mas malapit na koordinasyon sa Estados Unidos at Japan upang pag-ugnayin ang mga patakaran at magsagawa ng magkasanib na pagsasanay na nakatuon sa pagtugon sa insidente.

Maaaring pahinain ng mga organisasyon ang mga pag-atakeng gumagamit ng mga kahawig na domain at deepfake na larawan sa pamamagitan ng pagsasama ng proseso, pagsasanay, at teknolohiya. Nagsisimula ang proseso sa beripikasyon. Dapat sumunod sa isang nakadokumentong daloy ng trabaho ang mga kahilingang may kinalaman sa mga kredensiyal o dokumento ng pagkakakilanlan, kabilang ang pakikipag-ugnayan sa isang kilalang opisyal sa pamamagitan ng hiwalay na paraan. Dapat matutunan ng mga kawani na suriin ang mga domain nang paisa-isang letra at itapat ang pointer sa mga link bago mag-click.

Nakatutulong ang mga teknikal na kontrol na pigilan ang pagpapatakbo ng mga mapaminsalang file. Dapat ilagay sa quarantine ng mga email gateway ang mga mensaheng may magkakapatong na archive at harangin ang mga mapanganib na uri ng kalakip gaya ng mga shortcut file, ISO image, at script. I-off o limitahan ang PowerShell kung maaari, at gumamit ng mga listahan ng pinapahintulutang application upang pigilan ang mga hindi aprubadong executable. Kayang matukoy ng endpoint detection and response ang mga mapaminsalang PowerShell call at di-pangkaraniwang palabas na koneksiyon. Maaaring magbigay ng alerto ang pagsubaybay sa network kapag may bagong koneksiyon sa mga hindi kilalang domain ilang sandali matapos makipag-ugnayan sa isang email.

Palaki nang palaki ang papel ng pagsusuri sa mga aplikante at vendor sa depensa laban sa cyberattack. Dapat kabilang sa mga proseso ng pagkuha ng empleyadong magtatrabaho nang malayuan ang mahigpit na pagsusuri ng pagkakakilanlan gamit ang live video, beripikasyon ng pinagkakatiwalaang ikatlong panig, at hiwalay na pagpapatunay ng mga sanggunian. Dapat ipatupad ng mga sistemang humahawak ng sensitibong datos ang pinakamababang kinakailangang akses at tuloy-tuloy na beripikasyon. Maaaring makatuklas ng mga anomalya sa pamamagitan ng regular na pag-audit, gaya ng di-pangkaraniwang lokasyon ng pag-login at aktibidad sa labas ng inaasahang oras.

Mga legal at etikal na pananggalang para sa AI

Itinatampok ng insidente ang tensiyon sa paggamit ng AI. Nakikinabang ang mga negosyo kapag nagagamit ng mga empleyado ang AI sa pagbalangkas ng mga dokumento, pagsulat ng code, at pagproseso ng mga larawan. Ngunit maaari ring abusuhin ng mga kalaban ang malawak na akses dito. Nagpakilala ang mga developer ng AI ng mga sistemang pangkaligtasan na tumatanggi sa mapaminsalang nilalaman at sumusubaybay sa maling paggamit, ngunit sinisikap ng mga umaatake na lampasan ang mga hakbang na ito gamit ang mapanlinlang na mga prompt. Tumugon ang komunidad ng depensa sa pamamagitan ng pagbabahagi ng mga palatandaan ng pang-aabuso, pag-aalis ng mga lumalabag na account, at pagpino sa kilos ng mga modelo upang labanan ang manipulasyon.

Mahalaga ang mga pasiya tungkol sa patakaran at pagbili ng teknolohiya. Dapat hilingin ng mga ahensiya at kontratista sa mga supplier ng AI system na magbigay ng mga audit log, paraan ng pag-uulat ng pang-aabuso, at mga update upang patibayin ang mga modelo. Makapipigil sa di-sinasadyang paglikha ng mapanganib na nilalaman ang malinaw na mga tuntunin ng kompanya sa paggamit ng AI. Dapat subukan ng mga security team ang mga modelo laban sa karaniwang jailbreak prompt at mag-alok ng ligtas na mga alternatibo at paunang aprubadong daloy ng trabaho para sa mga pangangailangan ng negosyo gaya ng pagdisenyo ng dokumento o pagsusuri ng code.

Mga Dapat Malaman

• Gumamit ang Kimsuky ng mga larawang likha ng AI ng mga ID card ng militar ng Timog Korea bilang pain sa isang spear phishing campaign noong Hulyo.
• Hiniling sa mga tatanggap sa mga email na suriin ang mga sample na disenyo ng ID, at nagmula ang mga ito sa domain na gumaya sa opisyal na panlaping .mil.kr gamit ang .mli.kr.
• May nakitang metadata ang mga imbestigador na tumutukoy sa GPT 4o at ChatGPT sa kahit isang larawan, at tinaya ng isang detector na may 98 porsiyentong posibilidad na likha ng AI ang isang peke.
• Kabilang sa daluyan ng pag-atake ang mga ZIP archive at script na nagpatakbo ng mga PowerShell command, nag-install ng backdoor, at nag-download ng mapanlinlang na PNG.
• Kabilang sa mga target ang isang organisasyong may kaugnayan sa militar, mga mananaliksik, mamamahayag, at mga aktibista para sa karapatang pantao na nakatuon sa Hilagang Korea.
• Muling ginamit ng campaign ang malware na nakita sa aktibidad na may temang ClickFix noong Hunyo at iniugnay sa parehong grupo.
• Gumamit din ang mga operator ng Hilagang Korea ng mga AI tool upang bumuo ng mga pekeng pagkakakilanlan at makakuha ng mga trabahong malayuan, ayon sa kamakailang ulat ng isang pangunahing provider ng AI.
• Kabilang sa mga pananggalang ang mahigpit na beripikasyon sa mga kahilingang may kaugnayan sa pagkakakilanlan, mga kontrol sa email at endpoint na humaharang sa mapanganib na mga uri ng file at script, at mahigpit na pagsusuri sa mga aplikante para sa trabahong malayuan.