Microsoft zegt dat drie Noord-Koreaanse hackgroepen kunstmatige intelligentie nu hebben geïntegreerd in hun dagelijkse aanvalsoperaties, waarmee ze op het hoogste niveau van het beoordelingskader van het bedrijf zitten. Microsoft (NASDAQ: MSFT) beoordeelt het totale gebruik van AI door Noord-Korea bij hacking als hoog.

De bevindingen volgen nu Noord-Korea verantwoordelijk wordt gehouden voor de grootste cryptodiefstal ooit geregistreerd — de hack van $6,36 miljard bij Binance.

Hoe Noord-Koreaanse hackers AI gebruiken

In een donderdag gepubliceerd rapport heeft Microsoft Threat Intelligence acht van de meest actieve Noord-Koreaanse hackgroepen gerangschikt op een schaal van vier niveaus: opkomend, uitbreidend, versnellend en geoperationaliseerd. "Geoperationaliseerd" — het hoogste niveau — betekent dat AI verweven is in de volledige operatie van een groep.

Jade Sleet, Coral Sleet en Jasper Sleet zitten in de hoogste categorie, terwijl Diamond Sleet, Onyx Sleet, Pearl Sleet en Sapphire Sleet op het versnellende niveau zitten. Emerald Sleet zit in de uitbreidende fase en momenteel neemt geen enkele groep het opkomende niveau in. De "Sleet"-namen zijn de aanduidingen van Microsoft voor door de Noord-Koreaanse staat gesteunde actoren, onderdeel van een leveranciersspecifiek naamsysteem waarbij andere securitybedrijven hun eigen labels geven aan dezelfde eenheden.

Microsoft koppelde de rangschikking aan concrete activiteiten. Jade Sleet voerde in één week campagnes uit via drie nepbedrijven. Coral Sleet vond een manier om malware te plaatsen in privécodeopslag. Onyx Sleet genereerde binnen enkele minuten tientallen op maat gemaakte phishingberichten. Diamond Sleet gebruikte AI om nepersonen en frontbedrijven te creëren om doelen te misleiden. Eén groep produceerde naar verluidt in augustus en september meer dan 100 op maat gemaakte PDF-lokmiddelen gericht op Zuid-Koreaanse gebruikers — werk dat vroeger dagen per doel kostte.

De groepen maakten ook gebruik van AI-codingtools. Volgens Microsoft gebruikten operatoren tools zoals Cursor, een veelgebruikte AI-aangedreven code-editor, om code te schrijven, fouten te herstellen en manieren te bouwen om detectie te ontwijken. Onyx Sleet en Pearl Sleet gebruikten ARTEX, een open-sourcetool die systemen op zwakke plekken test en die kan worden gekoppeld aan een AI-model en opdracht kan krijgen om zelfstandig doelen te verkennen. Storm-0940, een aan China gelinkte groep, gebruikte ARTEX naar verluidt tegen ConnectWise.

De analisten van Microsoft zijn van mening dat mensen nog steeds vooral de leiding hebben over de hackoperaties van Noord-Korea, en dat AI wordt gebruikt om werk dat de groepen al deden te versnellen, zoals het verkennen van doelen, het produceren van phishingcontent en het in stand houden van valse identiteiten.

Microsoft zei dat crypto-exchanges en financiële instellingen tot de meest voorkomende doelen behoren van de cyberoperaties van Noord-Korea, aangezien de campagnes vooral gericht zijn op het werven van geld voor het regime en het verzamelen van inlichtingen. Deze focus sluit aan bij het onderzoek van TRM Labs, dat aantoonde dat Noord-Korea in 2026 76% van alle waarde van cryptohacks buitmaakte met slechts twee aanvallen.

Speelde AI een rol bij de Binance-hack?

Tot op heden is er geen bewijs dat de aanvallers achter de Binance-hack AI gebruikten, en het rapport van Microsoft koppelt de diefstal niet aan enige AI-techniek.

De Binance-hack, omschreven als de grootste cryptodiefstal ooit geregistreerd, vond plaats op 29 oktober. Het blockchainonderzoeksbureau TRM Labs zei dat een aanvaller ongeveer $6,36 miljard uit Binance-portemonnees verplaatste over tien blockchains, waarvan het grootste deel in ongeveer 20 minuten. In een blogpost schreef TRM de aanval toe aan TraderTraitor, wat het de elite-hackeenheid van Noord-Korea noemt — een cluster dat Microsoft volgt als Jade Sleet — en zei hoog vertrouwen te hebben in deze bevinding. Jonathan Levin, medeoprichter van Chainalysis, kwam op X tot dezelfde conclusie.

De eigen uiteenzetting van Binance over het incident schetst hoe de aanvallers binnenkwamen, maar niet welke tools ze gebruikten, volgens de berichtgeving van Cryptopolitan. De exchange zei eerst dat een gehackte laptop van een ingenieur de toegangspunt leek, maar een later onderzoek identificeerde aanvullende "inbraakpunten."

Binance heeft ongeveer $3 miljard van de gestolen fondsen bevroren, opnames gepauzeerd en toegezegd de verliezen van gebruikers te dekken. Nu de uiteenzetting van de exchange niet ingaat op de tools van de aanvallers, blijft de vraag of AI een rol speelde bij de diefstal open terwijl de onderzoeken voortduren.