727 Finance30 октября Microsoft опубликовала отчёт, в котором говорится, что 3 из 8 отслеживаемых ею северокорейских хакерских группировок глубоко внедрили ИИ во весь жизненный цикл атак, достигнув высшего уровня её модели зрелости; некоторые группировки за минуты массово создают персонализированные PDF-приманки для фишинга и используют инструменты ИИ-программирования для написания вредоносного кода и фабрикации личностей с целью проникновения в предприятия.
Автор: TechFlow
Введение TechFlow: Киберпротивостояние полностью перестраивается генеративным ИИ. 30 октября отдел киберразведки Microsoft опубликовал крупный доклад, системно раскрывающий серьёзную тенденцию расширения использования ИИ северокорейскими хакерскими группами. Из 8 отслеживаемых групп 3 уже глубоко встроили ИИ во весь ежедневный рабочий процесс вторжения.
От пакетной генерации кастомизированных PDF-приманок для фишинга за считанные минуты до использования инструментов ИИ-программирования для помощи в написании вредоносного кода — операционная эффективность и скрытность атакующих достигли скачкообразного роста на порядок. Что ещё более тревожно, цепочки фальшивого рекрутинга и маскировки личности оттачиваются ИИ, из-за чего традиционные системы защиты с трудом им противостоят.
Хотя Microsoft оценивает, что соответствующие группы ещё не достигли полностью автономного цикла атаки, практическое применение открытых фреймворков ИИ-пентеста уже возвестило о наступлении интеллектуальной кибервойны. Этот сдвиг парадигмы атаки и защиты создаёт комплексные новые вызовы для глобальных предприятий в области защиты конечных точек, проверки цепочки поставок и аудита учётных данных.
Согласно [Yonhap News Agency](https://www.yna.co.kr/view/AKR20261030112900017?input=tw" \t "https://www.techflowpost.com/article/_blank), отдел киберразведки Microsoft официально выпустил специальный исследовательский доклад, детально описывающий новейшие тенденции расширения использования ИИ северокорейскими хакерскими группами, охватывающий множество измерений, включая фишинговые атаки, маскировку личности, генерацию вредоносного кода и отравление цепочки поставок ПО.
Microsoft провёл систематическое профилирование возможностей 8 активных крупных северокорейских хакерских групп. Тревожно, что 3 из них уже завершили глубокую интеграцию инструментов ИИ с ежедневными рабочими процессами атак, достигнув высшего уровня в модели зрелости применения ИИ в киберугрозах Microsoft.
Исследования показывают, что участие ИИ больше не ограничивается периферийной проверкой концепции, а всесторонне охватывает всю цепочку — от ранней разведки, социально-инженерного фишинга, маскировки личности, написания вредоносного ПО до отравления цепочки поставок ПО, что знаменует интеллектуальную качественную трансформацию тактики и техник APT-групп государственного уровня.
На уровне социальной инженерии ИИ полностью устранил языковые и культурные барьеры, существовавшие ранее в трансграничных атаках. В докладе подчёркивается, что в период с августа по сентябрь этого года некая группа целенаправленно работала с южнокорейской демографией и сосредоточилась на создании более 100 высококастомизированных PDF-приманок для фишинга.Опираясь на возможности больших языковых моделей по генерации текста и вёрстке, злоумышленники в некоторых реальных сценариях могут за считанные минуты последовательно создавать десятки новых приманок. Эти поддельные документы чрезвычайно реалистичны с точки зрения грамматики, оформления официальных документов и контекстных деталей, что значительно повышает вероятность перехода по ссылкам и заражения у жертв.
Эта способность к промышленному массовому производству приманок свела предельные издержки фишинговых атак почти к нулю. Традиционные шлюзы безопасности, основанные на статических сигнатурах файлов и сопоставлении ключевых слов, сталкиваются с беспрецедентными проблемами ложных пропусков и неспособности распознавания при столкновении с массовыми AI-мутировавшими приманками, не имеющими повторяющихся шаблонов.
Помимо документов-приманок, AI также широко используется в фальшивом рекрутинге и маскировке личности. Хакеры используют модели для подделки резюме, чтобы проникнуть в технологические компании. (Подробнее рекомендуется к прочтению: «[Минфин США ужесточает борьбу с отмыванием криптовалют Северной Кореей: санкции против 10 физических и 1 юридического лица](https://www.techflowpost.com/article/34955" \t "https://www.techflowpost.com/article/_blank)»)
На уровне атак и защиты кода Microsoft наблюдала, что атакующие группы могут использовать такие популярные AI-ассистенты программирования, как Cursor, для значительного ускорения написания базовой логики вредоносного ПО и отладки обхода антивирусов. Повсеместное распространение инструментов не только сокращает циклы разработки, но и стирает индивидуальные привычки хакеров в кодировании.
Кроме того, с конца октября подтверждено, что элитные группы Onyx Sleet и Pearl Sleet, входящие в Главное разведывательное управление Северной Кореи, развернули в боевых операциях открытый фреймворк AI-тестирования на проникновение ARTEX, используя достижения red team из экосистемы открытого исходного кода для автоматизированной разведки целевых сетей.
Несмотря на то что инструментарий злоумышленников становится всё более изощрённым, Microsoft также приводит в отчёте относительно рациональную границу оценки. Эксперты отмечают, что текущие северокорейские хакерские группы пока не обладают способностью осуществлять полностью автономные атаки, и AI на данном этапе всё ещё играет ключевую роль усилителя эффективности и второго пилота.
Но это не означает, что индустрия безопасности может позволить себе самоуспокоенность. От ручного создания точечных скриптов до человеко-машинного сотрудничества для массового запуска сложных целевых атак — временное окно на обеих сторонах атаки и защиты стремительно сжимается. Защитники должны быстро перейти от традиционного пассивного реагирования к динамическому мониторингу на основе аналитики поведения AI.
С продолжающейся эволюцией открытых больших моделей и технологий локального вывода кибератаки на критическую инфраструктуру и криптофинансовые системы станут более частыми. Глобальным организациям срочно необходимо усилить защиту в области аудита цепочек поставок, осведомлённости сотрудников о безопасности и многофакторной аутентификации, чтобы встретить надвигающуюся интеллектуальную кибербурю.