727 FinanceMicrosoft publicó un informe el 30 de octubre en el que afirma que 3 de los 8 grupos de hackers norcoreanos que monitorea han integrado profundamente la IA en todo el ciclo de vida del ataque, alcanzando el nivel más alto de su modelo de madurez; algunos grupos generan señuelos de phishing en PDF personalizados de forma masiva en cuestión de minutos y utilizan herramientas de programación con IA para escribir código malicioso y fabricar identidades con el fin de infiltrarse en las empresas.
Autor: TechFlow
Introducción de TechFlow: La confrontación cibernética está siendo completamente remodelada por la IA generativa. El 30 de octubre, el departamento de inteligencia de amenazas de Microsoft publicó un importante informe que revela sistemáticamente la grave tendencia de los grupos de hackers norcoreanos a ampliar el uso de la IA. Entre los 8 grupos monitoreados, 3 ya han integrado profundamente la IA en todo el flujo de trabajo diario de infiltración.
Desde la generación por lotes de señuelos de phishing en PDF personalizados en cuestión de minutos hasta el uso de herramientas de programación de IA para ayudar a escribir código malicioso, la eficiencia operativa y el sigilo de los atacantes han logrado un salto de orden de magnitud. Más preocupante aún, las cadenas de reclutamiento falso y disfraz de identidad están siendo perfeccionadas por la IA, lo que hace que los sistemas de defensa tradicionales tengan dificultades para defenderse.
Aunque Microsoft evalúa que los grupos relevantes aún no han logrado un ciclo de ataque totalmente autónomo, la invocación práctica de marcos de penetración de IA de código abierto ya ha presagiado la llegada de la guerra cibernética inteligente. Este cambio en el paradigma de ataque-defensa plantea nuevos desafíos integrales para las empresas globales en defensa de endpoints, cribado de la cadena de suministro y auditoría de credenciales.
Según la [Agencia de Noticias Yonhap](https://www.yna.co.kr/view/AKR20261030112900017?input=tw" \t "https://www.techflowpost.com/article/_blank), el departamento de inteligencia de amenazas de Microsoft ha publicado oficialmente un informe de investigación especial que detalla las últimas tendencias en la expansión del uso de IA por parte de los grupos de hackers norcoreanos, abarcando múltiples dimensiones, incluyendo ataques de phishing, disfraz de identidad, generación de código malicioso y envenenamiento de la cadena de suministro de software.
Microsoft llevó a cabo una caracterización sistemática de capacidades de 8 importantes grupos de hackers norcoreanos activos. De manera alarmante, 3 de ellos ya han completado la integración profunda de herramientas de IA con los flujos de trabajo de ataque diarios, alcanzando el nivel más alto en el modelo de madurez de aplicación de IA a amenazas cibernéticas de Microsoft.
Las investigaciones muestran que la participación de la IA ya no se limita a la prueba de concepto periférica, sino que cubre de manera integral toda la cadena, desde el reconocimiento temprano, el phishing de ingeniería social, el disfraz de identidad, la escritura de malware, hasta el envenenamiento de la cadena de suministro de software, lo que marca una transformación cualitativa inteligente en las tácticas y técnicas de los grupos APT patrocinados por Estados-nación.
A nivel de ingeniería social, la IA ha derribado por completo las barreras lingüísticas y culturales en los anteriores ataques transfronterizos. El informe destaca que entre agosto y septiembre de este año, un determinado grupo se dirigió específicamente a la demografía surcoreana y se concentró en la producción de más de 100 documentos señuelo de phishing en PDF altamente personalizados.Aprovechando las capacidades de generación de texto y composición tipográfica de los grandes modelos de lenguaje, los atacantes pueden producir decenas de nuevos señuelos sucesivamente en cuestión de minutos en algunos escenarios del mundo real. Estos documentos falsificados son extremadamente realistas en expresión gramatical, formato de documentos oficiales y detalles contextuales, lo que aumenta enormemente las tasas de clics y la probabilidad de infección de las víctimas.
Esta capacidad de producción industrial a gran escala de señuelos ha llevado el costo marginal de los ataques de phishing casi a cero. Las pasarelas de seguridad tradicionales basadas en firmas de archivos estáticos y coincidencia de palabras clave enfrentan dilemas sin precedentes de falsos negativos y fallos de reconocimiento cuando se enfrentan a una masa de señuelos mutados por IA sin patrones repetitivos.
Además de los documentos señuelo, la IA también se utiliza ampliamente en el reclutamiento falso y el disfraz de identidad. Los hackers utilizan modelos para falsificar currículos e infiltrarse en empresas tecnológicas. (Para más detalles, lectura recomendada: "[El Tesoro de EE. UU. toma medidas contra el blanqueo de criptomonedas de Corea del Norte: sanciona a 10 individuos y 1 entidad](https://www.techflowpost.com/article/34955" \t "https://www.techflowpost.com/article/_blank)")
A nivel de ataque y defensa de código, Microsoft observó que los equipos de ataque podrían estar utilizando asistentes de programación de IA convencionales como Cursor para acelerar enormemente la escritura de la lógica subyacente del malware y la depuración de evasión antivirus. La ubicuidad de las herramientas no solo comprime los ciclos de desarrollo, sino que también borra los hábitos de codificación individuales de los hackers.
Además, se ha confirmado que Onyx Sleet y Pearl Sleet, grupos de élite bajo la Oficina General de Reconocimiento de Corea del Norte, han desplegado desde finales de octubre el marco de pruebas de penetración de IA de código abierto ARTEX en operaciones de primera línea, utilizando los logros de equipos rojos del ecosistema de código abierto para llevar a cabo reconocimiento automatizado contra redes objetivo.
A pesar de las cadenas de herramientas cada vez más afiladas de los atacantes, Microsoft también proporciona un límite de evaluación relativamente racional en el informe. Los expertos señalan que los grupos de hackers norcoreanos actuales aún no poseen la capacidad de lograr ataques totalmente autónomos, y la IA en esta etapa todavía desempeña el papel central de multiplicador de eficiencia y copiloto.
Pero esto no significa que la industria de la seguridad pueda permitirse la complacencia. Desde la elaboración manual de scripts de punto único hasta la colaboración humano-máquina para lanzar ataques dirigidos complejos en lotes, la ventana de tiempo en ambos lados del ataque y la defensa se está comprimiendo drásticamente. Los defensores deben pasar rápidamente de la respuesta pasiva tradicional a la monitorización dinámica basada en el análisis del comportamiento de la IA.
Con la continua evolución de los grandes modelos de código abierto y las tecnologías de inferencia en el dispositivo, las incursiones cibernéticas contra infraestructuras críticas y sistemas criptofinancieros serán más frecuentes. Las instituciones globales necesitan urgentemente reforzar las defensas en la auditoría de la cadena de suministro, la concienciación sobre seguridad de los empleados y la autenticación multifactor para hacer frente a la inminente tormenta cibernética inteligente.