Microsoft cho biết hiện có ba nhóm tin tặc Triều Tiên sử dụng AI trong các cuộc tấn công hằng ngày, mức cao nhất trên thang đo của hãng.
Microsoft (NASDAQ: MSFT) đánh giá mức độ sử dụng AI tổng thể của Triều Tiên trong hoạt động tin tặc là cao. Báo cáo được công bố trong bối cảnh Triều Tiên bị cáo buộc đứng sau vụ đánh cắp tiền mã hóa lớn nhất từ trước đến nay: vụ tấn công Binance trị giá 6,36 tỷ USD.
Tin tặc Triều Tiên đang sử dụng AI như thế nào?
Trong một báo cáo công bố hôm thứ Năm, Microsoft Threat Intelligence xếp hạng tám nhóm tin tặc hoạt động tích cực nhất của Triều Tiên theo thang đo bốn cấp độ. Các cấp độ là mới nổi, mở rộng, tăng tốc và đưa vào vận hành. “Đưa vào vận hành” là cấp độ cao nhất, nghĩa là AI đã trở thành một phần trong toàn bộ hoạt động của nhóm.
Jade Sleet, Coral Sleet và Jasper Sleet đang ở bậc cao nhất, trong khi Diamond Sleet, Onyx Sleet, Pearl Sleet và Sapphire Sleet đang ở bậc tăng tốc. Emerald Sleet đang ở bậc mở rộng và hiện không có nhóm nào ở bậc mới nổi.
Microsoft liên kết các thứ hạng với những hoạt động cụ thể.
Jade Sleet đã thực hiện các chiến dịch thông qua ba công ty giả trong cùng một tuần.
Coral Sleet tìm ra cách cài mã độc vào kho lưu trữ mã riêng tư.
Onyx Sleet tạo hàng chục tin nhắn lừa đảo tùy chỉnh chỉ trong vài phút.
Diamond Sleet dùng AI để tạo người giả và công ty bình phong nhằm đánh lừa các mục tiêu.
Theo báo cáo, một nhóm đã tạo hơn 100 tài liệu PDF giả làm mồi nhử, nhắm đến người dùng Hàn Quốc trong tháng 8 và tháng 9. Trước đây, công việc như vậy mất nhiều ngày cho mỗi mục tiêu.
Các nhóm cũng sử dụng công cụ lập trình AI. Microsoft cho biết những kẻ điều hành đã dùng các công cụ như Cursor để viết mã, sửa lỗi và tạo cách né tránh bị phát hiện.
Onyx Sleet và Pearl Sleet sử dụng ARTEX, một công cụ mã nguồn mở để kiểm tra các điểm yếu của hệ thống. Công cụ này có thể được kết nối với một mô hình AI và được yêu cầu tự dò tìm mục tiêu. Theo báo cáo, một nhóm có liên hệ với Trung Quốc, Storm-0940, đã dùng ARTEX nhằm vào ConnectWise.
Các nhà phân tích của Microsoft cho rằng con người vẫn chủ yếu điều hành các hoạt động tấn công mạng của Triều Tiên và chỉ đơn giản dùng AI để đẩy nhanh những việc mà các nhóm vốn đã làm, chẳng hạn như dò tìm mục tiêu, tạo nội dung lừa đảo và duy trì các danh tính giả.
Microsoft cho biết các sàn giao dịch tiền mã hóa và công ty tài chính nằm trong số những mục tiêu phổ biến nhất của các hoạt động mạng Triều Tiên, bởi mục đích chính là gây quỹ cho chính quyền và thu thập tình báo.
AI có đóng vai trò nào trong vụ tấn công Binance không?
Cho đến nay, vẫn chưa có bằng chứng cho thấy những kẻ tấn công liên quan đến vụ Binance đã sử dụng AI, và báo cáo của Microsoft không liên hệ vụ đánh cắp tại Binance với bất kỳ kỹ thuật AI nào.
Vụ tấn công Binance, được mô tả là vụ trộm tiền mã hóa lớn nhất từng được ghi nhận, xảy ra vào ngày 29 tháng 10. Công ty nghiên cứu blockchain TRM Labs cho biết kẻ tấn công đã chuyển khoảng 6,36 tỷ đô la khỏi các ví Binance trên mười blockchain, phần lớn số tiền được chuyển trong khoảng 20 phút.
TRM quy trách nhiệm cho TraderTraitor, đơn vị mà họ gọi là nhóm tin tặc tinh nhuệ của Triều Tiên, và cho biết họ rất tin tưởng vào kết luận này. Jonathan Levin, đồng sáng lập Chainalysis, cũng đưa ra kết luận tương tự trên X.
Cryptopolitan đưa tin rằng bản tường thuật sự việc của chính Binance nêu rõ cách những kẻ tấn công xâm nhập, nhưng không cho biết chúng đã dùng công cụ gì. Ban đầu, sàn giao dịch cho rằng máy tính xách tay của một kỹ sư bị tấn công có vẻ là điểm xâm nhập, nhưng cuộc điều tra sau đó phát hiện thêm nhiều “điểm bị xâm phạm”.
Binance đã đóng băng khoảng 3 tỷ đô la trong số tiền bị đánh cắp, tạm dừng việc rút tiền và cam kết bồi hoàn tổn thất cho người dùng.
Những bộ óc xuất sắc nhất trong lĩnh vực tiền mã hóa đã đọc bản tin của chúng tôi. Muốn tham gia cùng họ không?