Hackers norte-coreanos usam IA em ataques de phishing contra o exército sul-coreano

Um toque de IA num manual já conhecido do Kimsuky

O grupo Kimsuky da Coreia do Norte utilizou inteligência artificial para embelezar uma campanha de phishing com imagens convincentes de cartões de identificação de militares sul-coreanos, segundo uma análise detalhada de uma empresa sul-coreana de cibersegurança. Os engodos pediam aos destinatários que analisassem modelos de cartões de identificação para pessoal civil, um pedido que pareceria rotineiro dentro de uma burocracia de defesa. As imagens anexas assemelhavam-se a crachás legítimos, mas os investigadores afirmam que os gráficos foram produzidos por um modelo de IA generativa e embutidos com malware capaz de tomar controlo do computador da vítima.

Os e-mails imitavam uma instituição ligada à defesa encarregada de emitir documentos de identificação. Os atacantes tentaram tranquilizar os destinatários ao anexar imagens PNG que se assemelhavam a modelos de cartões de identificação em rascunho. Escondidos na mesma cadeia de distribuição haviam ficheiros que ativavam um backdoor assim que o alvo interagia com o conteúdo. As imagens foram provavelmente criadas ao induzir um sistema comercial de IA a produzir maquetas para fins de teste, e não credenciais reais, uma técnica que pode iludir salvaguardas automatizadas.

O endereço do remetente imitava também um domínio militar de confiança. Os investigadores observaram domínios falsos como .mli.kr, um homógrafo do sufixo oficial de defesa da Coreia do Sul .mil.kr, para enganar destinatários que procuravam sinais familiares. Alterações deste tipo são uma tática comum de engenharia social e são difíceis de detetar quando alguém está a varrer uma caixa de entrada sobrecarregada.

A campanha, detetada pela primeira vez a meados de julho, surgiu na sequência de atividade anterior em que o mesmo grupo utilizou um engodo do estilo ClickFix e distribuiu a mesma família de malware. O conhecimento obtido nessas execuções parece ter sido reutilizado, agora combinado com gráficos gerados por IA para aumentar a verosimilhança da história. Os alvos incluíam uma organização ligada ao exército, bem como investigadores, jornalistas e ativistas dedicados à Coreia do Norte.

Como funcionou o esquema de phishing

O isco era simples. Os destinatários recebiam uma mensagem a pedir uma rápida análise de modelos de cartões de identificação. Um arquivo ZIP ou uma ligação de download entregava uma imagem e um ou mais scripts. Uma vez abertos, a cadeia executava código que ligava o computador à infraestrutura dos atacantes, descarregava componentes adicionais e estabelecia controlo remoto. A imagem ajudava a vender a história de uma revisão de design inofensiva.

A contornar as salvaguardas de IA com injeção de prompts

A maioria das ferramentas de IA mainstream recusa criar documentos de identificação emitidos pelo governo, uma vez que copiar tais documentos é ilegal e ajuda a fraude. Neste caso, os atacantes parecem ter enquadrado os seus prompts como amostras de design para uma maqueta interna. Essa abordagem pode levar um modelo a interpretar o pedido como inofensivo. Trata-se de uma forma de injeção de prompts ou jailbreaking, em que um utilizador contorna as regras de um modelo ao elaborar linguagem que reformula a intenção.

Analistas que examinaram uma das imagens falsas afirmaram que um detetor de deepfake sinalizou-a com 98 por cento de probabilidade de ter sido gerada por IA. Em pelo menos uma amostra, os metadados da imagem referenciavam GPT 4o e ChatGPT, sugerindo que um pipeline de geração de imagens da OpenAI foi utilizado durante os testes ou a produção. Quanto mais a imagem se assemelhasse a um rascunho rotineiro de crachá, mais provável era que um funcionário apressado considerasse o pedido legítimo.

Distribuição de malware e cadeia de intrusão

O pacote de distribuição variava. Num caso observado, um ficheiro ZIP continha um atalho disfarçado para parecer um documento normal. Quando lançado, executava um comando PowerShell que contactava um servidor remoto, obtinha um backdoor e descarregava o PNG de isco do cartão de identificação. Noutro, um ficheiro por lotes chamado LhUdPC3G.bat era executado em conjunto com a imagem e iniciava atividade maliciosa, incluindo o estabelecimento de persistência e a ativação de roubo de dados e controlo remoto.

Estes eram e-mails de spear phishing, e os operadores atenderam aos detalhes. Alguns arquivos eram personalizados com o nome real do destinatário parcialmente oculto para aumentar a confiança e levar o alvo a abrir o anexo. A imagem falsa do cartão de identificação, o tipo de pedido familiar e a correspondência quase exata do domínio do remetente combinaram-se para ultrapassar a desconfiança dos destinatários.

Alvos do Kimsuky e porquê

O Kimsuky é acompanhado há anos por agências governamentais e investigadores privados como uma unidade de recolha de inteligência da Coreia do Norte. O grupo é avaliado como responsável pela recolha de informação política, militar e tecnológica alinhada com as prioridades do Estado. O seu conjunto de vítimas inclui frequentemente agências governamentais, instituições ligadas à defesa, think tanks, investigadores académicos, jornalistas e organizações de direitos humanos dedicadas à Coreia do Norte.

Em junho, os investigadores documentaram e-mails com o tema ClickFix que levavam os utilizadores a premir um botão para resolver um problema suposto. A campanha de julho emprestou o mesmo malware e muitas das mesmas técnicas, acrescentando depois amostras de design geradas por IA para reforçar o engodo. Este não foi um envio em massa. Foi uma operação cuidadosa e direcionada que procurava acesso a redes e caixas de entrada específicas.

A atribuição assentou numa mistura de evidências técnicas e contextuais, incluindo código de malware partilhado, reutilização de infraestrutura, padrões linguísticos e escolha de alvos. Estes indicadores coincidem com atividade anteriormente atribuída ao Kimsuky. O método é consistente com uma missão de longa data de infiltrar círculos políticos, recolher dados e manter posições dentro de instituicoes que monitorizam de perto a Coreia do Norte.

Impersonar uma unidade que emite cartões de identificação explora um processo de negócio bem compreendido. Os documentos de identidade convidam a uma revisão colaborativa, envolvem frequentemente trocas sobre fontes, fotografias e layout, e carregam uma aura implícita de autoridade. Isso faz com que o pedido de verificar uma amostra pareça comum.

Um padrão alargado de uso indevido de IA por operadores norte-coreanos

A operação de phishing insere-se num padrão mais amplo. Em agosto, uma grande empresa de IA comunicou ter interrompido operativos norte-coreanos que usaram o seu modelo para criar identidades falsas, candidatar-se a empregos remotos em empresas tecnológicas dos Estados Unidos e até completar trabalho técnico depois de serem contratados. O mesmo relatório descreveu como as contas ligadas a esta atividade foram banidas e como a empresa atualizou os seus sistemas de deteção contra uso malicioso.

Briefings de segurança na Coreia do Sul e nos Estados Unidos alertaram que atores norte-coreanos utilizam ferramentas de IA para escrever e-mails fluentes, elaborar currículos e cartas de apresentação, redigir código e criar personas com fotografias de perfil profissionais. Estas capacidades permitem que um pequeno operador atue com o requinte de uma equipa muito maior. A barreira de entrada baixou. Uma pessoa com competências técnicas modestas pode agora contar com a IA como guia, redigir módulos de malware mais depressa, traduzir conteúdos com qualidade nativa em coreano ou inglês e gerar recursos visuais que passam um teste de observação rápida.

Analistas de conflito digital na península assinalaram um aumento dos ataques a instituições sul-coreanas. Fontes públicas em 2023 referiram tentativas diárias na ordem dos milhões contra sistemas governamentais, muitas rastreadas a atividade norte-coreana. Relatórios separados das Nações Unidas e investigação do setor associaram unidades norte-coreanas a grandes roubos de criptomoedas usados para financiar programas estratégicos. Os incidentes de spear phishing, a fraude laboral assistida por IA e o roubo financeiro são partes da mesma estratégia de recolha de inteligência e geração de receita apesar das sanções.

Embora operadores com base na China e outros atores ligados a estados também estejam a experimentar IA generativa, o foco aqui é a rápida adoção por unidades norte-coreanas tanto para espionagem como para finanças ilícitas. A fronteira entre um kit de phishing e um estúdio de conteúdos assistido por IA desvaneceu-se. O que costumava exigir equipas de designers, tradutores e programadores pode agora ser montado com prompts e um punhado de ferramentas de código aberto.

Porque é que a IA torna a engenharia social mais convincente

A IA generativa destaca-se na produção de conteúdos polidos sob pedido. Num contexto de phishing, isso significa que imagens, texto e código são adaptados a um público-alvo com o mínimo de esforço. Uma maqueta convincente de crachá ou um papel timbrado com marca reduz a vigilância do leitor. Um modelo capaz de escrever em coreano burocrático formal, intercalar os acrónimos certos e manter um tom respeitoso gera mensagens que parecem e parecem autênticas.

Os modelos de linguagem funcionam também como um assistente de escrita incansável. Corrigem a gramática, acompanham o estilo de uma instituição e mantêm o tom consistente ao longo de vários e-mails. Os atacantes podem pedir variantes da mesma mensagem para diferentes funções. Um modelo pode produzir um rascunho que parece um aviso rutineiro para um gestor de recursos humanos e outro que se lê como um memorando técnico para um responsável de TI.

No lado técnico, os assistentes de código ajudam operadores menos experientes a montar scripts e payloads. Os modelos explicam erros, sugerem correções e produzem exemplos que funcionam. Utilizados de forma inadequada, isto acrescenta velocidade e reduz a curva de aprendizagem no desenvolvimento de malware. Combinando isso com geração de texto e tradução, um único operador pode executar campanhas multilingues que teriam exigido uma equipa nos anos anteriores.

A criação de identidades é o outro pilar. Os modelos podem ajudar a inventar histórios profissionais, produzir currículos formatados e redigir cartas de apresentação compatíveis com as ofertas de emprego. As ferramentas de imagem criam fotografias de perfil que passam uma inspeção rápida. Em conjunto, estas capacidades tornam mais fácil a execução de comprometimento de e-mail empresarial e de infiltração de longo prazo, pelo menos até que as defesas humanas e técnicas acompanhem.

Defesa, deteção e respostas políticas

A Coreia do Sul atualizou a sua Estratégia Nacional de Cibersegurança com ênfase na cooperação internacional, na adoção de tecnologia avançada e em defesas mais fortes. O plano destaca a deteção impulsionada por IA para monitorização em tempo real, o partilhamento de informação mais profundo com parceiros e melhorias na resiliência de toda a infraestrutura crítica. Seul tem também procurado uma coordenação mais estreita com os Estados Unidos e o Japão para alinhar políticas e realizar exercícios conjuntos focados na resposta a incidentes.

As organizações podem atenuar ataques construídos em torno de domínios homógrafos e imagens deepfake com uma combinação de processos, formação e tecnologia. O processo começa com a verificação. Os pedidos que envolvam credenciais ou documentos de identidade devem seguir um fluxo de trabalho documentado, incluindo o contacto com um funcionário conhecido através de um canal secundário. A equipa deve aprender a verificar domínios letra a letra e a passar o cursor sobre as ligações antes de clicar.

Os controlos técnicos ajudam a impedir a execução. Os gateways de e-mail devem colocar em quarentena mensagens com arquivos aninhados e bloquear tipos de anexo arriscados, como ficheiros de atalho, imagens ISO e scripts. Desative ou restrinja o PowerShell sempre que possível e recorra a listas de aplicações permitidas para evitar executáveis não autorizados. A deteção e resposta no endpoint pode identificar chamadas PowerShell maliciosas e ligações de saída atípicas. A monitorização de rede pode alertar para novas ligações a domínios não reconhecidos pouco após uma interação por e-mail.

A contratação e a verificação de fornecedores são uma parte crescente da defesa cibernética. Os fluxos de contratação remota devem incluir verificações de identidade rigorosas com vídeo ao vivo, verificação por terceiros de confiança e validação independente de referências. Os sistemas que tratam dados sensíveis devem impor acesso de mínimo privilégio e verificação contínua. Auditorias rotineiras podem detetar anomalias como localizações de início de sessão invulgares e atividade fora dos horários esperados.

Salvaguardas legais e éticas para a IA

O incidente destaca uma tensão na adoção da IA. As empresas beneficiam quando os colaboradores podem usar a IA para redigir documentos, compor código e processar imagens. A mesma acessibilidade pode ser usada indevidamente por adversários. Os desenvolvedores de IA introduziram sistemas de segurança que recusam conteúdos prejudiciais e monitorizam o uso indevido, mas os atacantes tentam contornar essas medidas com prompts engenhosos. A comunidade da defesa respondeu partilhando indicadores de abuso, removendo contas infratoras e refinando o comportamento dos modelos para resistir à manipulação.

As escolhas de política e de contratação pública importam. As agências e contratantes devem exigir que os fornecedores de sistemas de IA forneçam registos de auditoria, canais de denúncia de abuso e atualizations de robustecimento dos modelos. Regras empresariais claras para o uso da IA podem prevenir a criação acidental de conteúdos arriscados. As equipas de segurança devem testar modelos contra prompts comuns de jailbreak e oferecer alternativas seguras e fluxos de trabalho pré-aprovados para necessidades empresariais como o design de documentos ou a revisão de código.

O que deve saber

• O Kimsuky usou imagens geradas por IA de cartões de identificação militares sul-coreanos como engodo numa campanha de spear phishing em julho.
• Os e-mails pediam aos destinatários que analisassem modelos de cartões de identificação e provinham de um domínio que imitava o sufixo oficial .mil.kr com .mli.kr.
• Os investigadores encontraram metadados referenciando GPT 4o e ChatGPT em pelo menos uma imagem, e um detetor classificou uma falsa com 98 por cento de probabilidade de ter sido gerada por IA.
• A cadeia de distribuição incluía arquivos ZIP e scripts que executavam comandos PowerShell, instalavam um backdoor e descarregavam um PNG de isco.
• Os alvos incluíam uma organização ligada ao exército, investigadores, jornalistas e ativistas de direitos humanos dedicados à Coreia do Norte.
• A campanha reutilizou malware observado em atividade com o tema ClickFix em junho, atribuída ao mesmo grupo.
• Operadores norte-coreanos também usaram ferramentas de IA para construir identidades falsas e garantir empregos remotos, segundo relatório recente de um grande fornecedor de IA.
• As defesas incluem verificação rigorosa de pedidos relacionados com identidade, controlos de e-mail e endpoint que bloqueiam tipos de ficheiro e scripts arriscados, e verificações rigorosas de contratação remota.