Автор: Deep Tide TechFlow

Вводная от Deep Tide: генеративный ИИ полностью меняет ландшафт киберпротивостояния. 30 октября подразделение Microsoft по анализу киберугроз опубликовало важный доклад, в котором системно раскрывается тревожный масштаб внедрения ИИ северокорейскими хакерскими группировками. Среди 8 организаций, за которыми ведётся наблюдение, уже 3 глубоко интегрировали ИИ во все этапы повседневных кибератак.

От массового создания персонализированных PDF-файлов-приманок для фишинга за считаные минуты до написания вредоносного кода с помощью ИИ-инструментов для программирования — эффективность и скрытность действий злоумышленников выросли на порядок. Ещё большую тревогу вызывает то, что ИИ совершенствует схемы с фиктивным наймом и подменой личности, делая традиционные системы защиты бессильными.

Хотя, по оценке Microsoft, соответствующие группировки пока не создали полностью автономный цикл атак, практическое применение открытых ИИ-фреймворков для тестирования на проникновение уже возвестило о наступлении эры интеллектуальной кибервойны. Этот сдвиг парадигмы противостояния предъявляет новые комплексные требования к глобальным компаниям в области защиты конечных устройств, проверки цепочек поставок и аудита учётных данных.

ИИ в тестировании на проникновение входит в повседневную практику: Microsoft присвоила высший рейтинг трём группам

Как сообщило [агентство «Рёнхап»](https://www.yna.co.kr/view/AKR20261030112900017?input=tw" \t "https://www.techflowpost.com/article/_blank), подразделение Microsoft по анализу угроз недавно опубликовало специальный исследовательский доклад, в котором подробно рассмотрены последние тенденции расширения использования ИИ северокорейскими хакерскими группировками. Речь идёт о фишинговых атаках, подмене личности, генерации вредоносного кода и внедрении вредоносных компонентов в цепочки поставок программного обеспечения.

Microsoft систематически оценила возможности восьми активных крупных северокорейских хакерских группировок. Вызывает тревогу тот факт, что три из них уже глубоко интегрировали инструменты ИИ в повседневные процессы атак и достигли высшего уровня зрелости в модели Microsoft, оценивающей степень внедрения ИИ в киберугрозы.

Как показало расследование, ИИ уже вышел за рамки предварительных проверок концепции и охватил весь цикл — от начальной разведки, социальной инженерии и фишинга до подмены личности, написания вредоносных программ и внедрения вредоносных компонентов в цепочки поставок программного обеспечения. Это свидетельствует о качественном переходе к интеллектуальным тактикам и методам ведения киберопераций у государственных APT-группировок.

Десятки документов за считаные минуты: искусно поддельные PDF-приманки пробивают защиту

В сфере социальной инженерии ИИ полностью преодолел языковые и культурные барьеры, которые прежде мешали трансграничным атакам. В докладе особо отмечается, что в период с августа по сентябрь этого года одна из группировок целенаправленно атаковала жителей Южной Кореи и создала более 100 персонализированных PDF-документов-приманок для фишинговых атак.

Благодаря возможностям больших языковых моделей генерировать и форматировать текст злоумышленникам в некоторых сценариях практического применения достаточно всего нескольких минут, чтобы создать десятки новых приманок. Поддельные документы выглядят чрезвычайно правдоподобно: от грамматики и оформления официальных бумаг до контекстных деталей. Это значительно повышает вероятность того, что жертва перейдёт по ссылке или попадётся на уловку.

Возможность промышленного производства приманок крупными партиями сводит предельную стоимость фишинговых атак почти к нулю. Традиционные шлюзы безопасности, опирающиеся на статические характеристики файлов и сопоставление ключевых слов, сталкиваются с беспрецедентным числом пропусков и неспособностью распознавать многочисленные разнообразные приманки, созданные ИИ.

Поддельные личности и помощь с кодом: скрытое расширение многопрофильной киберпреступной сети

Помимо документов-приманок, ИИ активно используется и для фиктивного найма и подмены личности. Хакеры создают с помощью моделей поддельные резюме, чтобы проникать в технологические компании. (Подробнее читайте в материале ([Минфин США ужесточает борьбу с отмыванием криптовалют Северной Кореей: под санкции попали 10 человек и 1 организация](https://www.techflowpost.com/article/34955" \t "https://www.techflowpost.com/article/_blank)))

В сфере разработки и противодействия вредоносному коду Microsoft отмечает, что атакующие группы, возможно, используют популярные ИИ-помощники для программирования, такие как Cursor, чтобы значительно ускорить написание базовой логики вредоносных программ и отладку средств обхода антивирусной защиты. Широкая доступность этих инструментов не только сокращает сроки разработки, но и стирает индивидуальный стиль кодирования хакеров.

Более того, подтверждено, что элитные группировки Onyx Sleet и Pearl Sleet, подчиняющиеся Главному разведывательному управлению Северной Кореи, с конца октября развернули в реальных операциях открытый фреймворк для тестирования на проникновение ARTEX, используя наработки красных команд из открытой экосистемы для автоматизированной разведки целевых сетей.

Порог автономности всё ближе: глобальная кибербезопасность вступает в эпоху интеллектуального противостояния

Несмотря на всё более совершенный инструментарий злоумышленников, в своём докладе Microsoft также обозначила взвешенные границы оценки ситуации. По мнению экспертов, северокорейские хакерские группировки пока не способны проводить полностью автономные атаки; на данном этапе ИИ по-прежнему служит прежде всего множителем эффективности и интеллектуальным помощником.

Однако это не означает, что специалистам по безопасности можно терять бдительность. От ручной доработки отдельных скриптов до совместного с ИИ запуска масштабных сложных целевых атак — временное окно для действий обеих сторон стремительно сужается. Защищающимся необходимо быстро перейти от традиционного пассивного реагирования к динамическому мониторингу на основе анализа поведения с использованием ИИ.

По мере дальнейшего развития открытых больших языковых моделей и технологий обработки данных непосредственно на устройствах кибератаки на критическую инфраструктуру и криптофинансовые системы будут происходить чаще. Глобальным организациям необходимо срочно укрепить защиту, уделив особое внимание аудиту цепочек поставок, повышению осведомлённости сотрудников о безопасности и многофакторной аутентификации, чтобы противостоять надвигающейся интеллектуальной киберугрозе.