Microsoft сообщает, что три северокорейские хакерские группировки теперь интегрировали искусственный интеллект в свои ежедневные атакующие операции, что соответствует высшему уровню в оценочной шкале компании. Microsoft (NASDAQ: MSFT) оценивает общий уровень использования ИИ КНДР в хакерской деятельности как высокий.

Эти выводы сделаны на фоне обвинений в адрес КНДР в крупнейшей краже криптовалюты в истории — взломе Binance на 6,36 млрд долларов.

Как северокорейские хакеры используют ИИ

В отчете, опубликованном в четверг, Microsoft Threat Intelligence оценила восемь наиболее активных хакерских группировок КНДР по четырехступенчатой шкале: emerging, expanding, accelerating и operationalized. Высшая ступень — «operationalized» — означает, что ИИ встроен во все операции группировки.

Jade Sleet, Coral Sleet и Jasper Sleet находятся на высшем уровне, тогда как Diamond Sleet, Onyx Sleet, Pearl Sleet и Sapphire Sleet — на ступени accelerating. Emerald Sleet находится на ступени expanding, а на ступени emerging в настоящее время нет ни одной группировки. Названия с «Sleet» — это обозначения Microsoft для поддерживаемых государством северокорейских субъектов, часть системы наименований конкретного вендора, в рамках которой другие компании в сфере безопасности присваивают тем же подразделениям свои метки.

Microsoft связала рейтинги с конкретной деятельностью. Jade Sleet провела кампании через три подставные компании за одну неделю. Coral Sleet нашла способ внедрить вредоносное ПО в приватные хранилища кода. Onyx Sleet сгенерировала десятки персонализированных фишинговых сообщений за считанные минуты. Diamond Sleet использовала ИИ для создания вымышленных персон и подставных компаний, чтобы обмануть свои цели. По имеющимся данным, одна группировка в августе и сентябре подготовила более 100 персонализированных PDF-приманок для пользователей из Южной Кореи — работа, которая раньше занимала несколько дней на одну цель.

Группировки также использовали ИИ-инструменты для программирования. По данным Microsoft, операторы применяли такие инструменты, как Cursor — широко используемый ИИ-редактор кода, — для написания кода, исправления ошибок и создания способов уклонения от обнаружения. Onyx Sleet и Pearl Sleet использовали ARTEX — инструмент с открытым исходным кодом для поиска уязвимостей в системах, который можно подключить к ИИ-модели и поручить самостоятельно разведывать цели. Как сообщается, группировка Storm-0940, связанная с Китаем, использовала ARTEX против ConnectWise.

Аналитики Microsoft считают, что людьми по-прежнему преимущественно руководятся хакерские операции КНДР, а ИИ используется лишь для ускорения уже существовавшей работы: разведки целей, создания фишингового контента и поддержания вымышленных личностей.

Microsoft сообщила, что криптобиржи и финансовые компании входят в число наиболее частых целей киберопераций КНДР, поскольку кампании направлены главным образом на пополнение бюджета режима и сбор разведданных. Эта направленность согласуется с исследованием TRM Labs, согласно которому КНДР украла 76% всей стоимости криптохаков в 2026 году всего двумя атаками.

Участвовал ли ИИ во взломе Binance?

Пока нет доказательств того, что атакующие, стоящие за взломом Binance, использовали ИИ, и отчет Microsoft не связывает эту кражу с какой-либо техникой на основе ИИ.

Взлом Binance, описываемый как крупнейшая кража криптовалюты в истории, произошел 29 октября. Блокчейн-исследовательская фирма TRM Labs сообщила, что атакующий вывел около 6,36 млрд долларов из кошельков Binance через десять блокчейнов, большая часть — примерно за 20 минут. В публикации в блоге TRM приписала атаку группировке TraderTraitor, которую она называет элитным хакерским подразделением КНДР — кластером, который Microsoft отслеживает как Jade Sleet, — и заявила о высокой уверенности в этом выводе. Сооснователь Chainalysis Джонатан Левин пришел к такому же выводу в X.

Как сообщает Cryptopolitan, в собственном описании инцидента от Binance разъясняется, как атакующие проникли в систему, но не указано, какие инструменты они использовали. Биржа сначала сообщила, что точкой входа, вероятно, был ноутбук взломанного инженера, но последующее расследование выявило дополнительные «точки проникновения».

Binance заморозила около 3 млрд долларов из украденных средств, приостановила выводы и обязалась компенсировать потери пользователей. Поскольку в описании биржи не раскрывается инструментарий атакующих, вопрос о том, сыграл ли ИИ какую-либо роль в краже, остается открытым по мере продолжения расследования.