Microsoft informuje, że trzy północnokoreańskie grupy hakerskie zintegrowały sztuczną inteligencję ze swoimi codziennymi operacjami ataków, osiągając najwyższy poziom w skali oceny firmy. Microsoft (NASDAQ: MSFT) ocenia ogólne wykorzystanie AI przez Koreę Północną w cyberatakach jako wysokie.

Ustalenia pojawiły się w czasie, gdy Korea Północna jest obwiniana o największą kradzież kryptowalut w historii — włamanie na Binance o wartości 6,36 mld USD.

Jak północnokoreańscy hakerzy wykorzystują AI

W raporcie opublikowanym w czwartek Microsoft Threat Intelligence sklasyfikował osiem najbardziej aktywnych północnokoreańskich grup hakerskich według czterostopniowej skali: emerging, expanding, accelerating i operationalized. „Operationalized” — najwyższy poziom — oznacza, że AI jest zintegrowana z całością operacji grupy.

Jade Sleet, Coral Sleet i Jasper Sleet znajdują się na najwyższym poziomie, podczas gdy Diamond Sleet, Onyx Sleet, Pearl Sleet i Sapphire Sleet są na poziomie accelerating. Emerald Sleet znajduje się na poziomie expanding, a obecnie żadna grupa nie zajmuje poziomu emerging. Nazwy „Sleet” to oznaczenia północnokoreańskich podmiotów wspieranych przez państwo stosowane przez Microsoft, będące częścią systemu nazewnictwa zależnego od dostawcy, w którym inne firmy zajmujące się bezpieczeństwem przypisują tym samym jednostkom własne nazwy.

Microsoft powiązał klasyfikację z konkretną aktywnością. Jade Sleet prowadziła kampanie za pośrednictwem trzech fikcyjnych firm w ciągu jednego tygodnia. Coral Sleet znalazła sposób na umieszczanie złośliwego oprogramowania w prywatnym repozytorium kodu. Onyx Sleet generowała dziesiątki spersonalizowanych wiadomości phishingowych w ciągu kilku minut. Diamond Sleet wykorzystywała AI do tworzenia fikcyjnych osób i firm, aby oszukiwać swoje cele. Według doniesień jedna z grup przygotowała ponad 100 spersonalizowanych przynęt w formacie PDF skierowanych do użytkowników z Korei Południowej w sierpniu i wrześniu — praca, która wcześniej zajmowała kilka dni na każdy cel.

Grupy korzystały również z narzędzi programistycznych opartych na AI. Według Microsoftu operatorzy używali takich narzędzi jak Cursor, szeroko stosowany edytor kodu wykorzystujący AI, do pisania kodu, naprawiania błędów i tworzenia sposobów na uniknięcie wykrycia. Onyx Sleet i Pearl Sleet korzystały z ARTEX, narzędzia open source testującego systemy pod kątem słabości, które można połączyć z modelem AI i polecić mu samodzielne rozpoznawanie celów. Według doniesień powiązana z Chinami grupa Storm-0940 wykorzystała ARTEX przeciwko ConnectWise.

Analitycy Microsoftu uważają, że ludzie nadal w głównej mierze kierują północnokoreańskimi operacjami hakerskimi, a AI służy do przyspieszania zadań, które grupy już wcześniej wykonywały, takich jak rozpoznawanie celów, tworzenie treści phishingowych i podtrzymywanie fałszywych tożsamości.

Microsoft poinformował, że giełdy kryptowalut i firmy finansowe należą do najczęstszych celów północnokoreańskich operacji cybernetycznych, ponieważ kampanie mają przede wszystkim pozyskiwać środki dla reżimu i gromadzić informacje wywiadowcze. Ten kierunek jest zgodny z badaniami TRM Labs, według których Korea Północna odpowiadała za 76% wartości wszystkich kradzieży kryptowalut w 2026 roku, dokonując zaledwie dwóch ataków.

Czy AI odegrała rolę we włamaniu na Binance?

Jak dotąd nie ma dowodów, że napastnicy stojący za włamaniem na Binance korzystali z AI, a raport Microsoftu nie wiąże kradzieży z żadną techniką AI.

Włamanie na Binance, określane jako największa kradzież kryptowalut w historii, miało miejsce 29 października. Firma badawcza zajmująca się blockchainem TRM Labs poinformowała, że napastnik przemieścił około 6,36 mld USD z portfeli Binance na dziesięciu blockchainach, przy czym większość środków została przeniesiona w ciągu około 20 minut. W wpisie na blogu TRM przypisał atak grupie TraderTraitor, którą określa jako elitarną północnokoreańską jednostkę hakerską — klaster śledzony przez Microsoft jako Jade Sleet — i poinformował o wysokiej pewności tego ustalenia. Jonathan Levin, współzałożyciel Chainalysis, doszedł na X do tego samego wniosku.

Według relacji Cryptopolitan własny opis incydentu przedstawiony przez Binance wyjaśnia, w jaki sposób napastnicy uzyskali dostęp, ale nie wskazuje, jakich narzędzi użyli. Giełda początkowo informowała, że punktem wejścia mógł być laptop zhakowanego inżyniera, jednak późniejsze dochodzenie wykazało dodatkowe „punkty naruszenia”.

Binance zamroziło około 3 mld USD ze skradzionych środków, wstrzymało wypłaty i zobowiązało się pokryć straty użytkowników. Ponieważ opis giełdy nie wskazuje narzędzi wykorzystanych przez napastników, kwestia tego, czy AI odegrała jakąkolwiek rolę w kradzieży, pozostaje otwarta w miarę trwania dochodzeń.