Penggodam Korea Utara Gunakan AI dalam Serangan Pancingan Data terhadap Tentera Korea Selatan

Sentuhan AI dalam taktik Kimsuky yang sudah dikenali

Kumpulan Kimsuky dari Korea Utara menggunakan kecerdasan buatan untuk memperindah kempen pancingan data dengan imej kad pengenalan pekerja tentera Korea Selatan yang meyakinkan, menurut analisis terperinci oleh sebuah firma keselamatan siber Korea Selatan. Umpan itu meminta penerima menyemak contoh reka bentuk kad pengenalan untuk kakitangan awam, permintaan yang kelihatan rutin dalam birokrasi pertahanan. Imej yang dilampirkan kelihatan seperti lencana rasmi, namun penyiasat berkata grafik itu dihasilkan oleh model AI generatif dan disertakan bersama perisian hasad yang boleh mengambil alih komputer mangsa.

E-mel itu menyamar sebagai institusi berkaitan pertahanan yang bertanggungjawab mengeluarkan kad pengenalan. Penyerang cuba meyakinkan penerima dengan melampirkan imej PNG yang menyerupai draf reka bentuk kad pengenalan. Dalam rantaian penghantaran yang sama, terdapat fail tersembunyi yang mengaktifkan pintu belakang sebaik sahaja sasaran berinteraksi dengan kandungan tersebut. Imej itu berkemungkinan dihasilkan dengan menggesa sistem AI komersial supaya mencipta model reka bentuk untuk tujuan ujian, bukannya kelayakan sebenar; teknik ini boleh memperdaya kawalan keselamatan automatik.

Alamat pengirim juga meniru domain tentera yang dipercayai. Penyiasat mengesan domain palsu seperti .mli.kr, yang menyerupai akhiran pertahanan rasmi Korea Selatan, .mil.kr, untuk memperdaya penerima yang mencari petunjuk lazim. Perubahan kecil seperti ini ialah taktik kejuruteraan sosial yang biasa dan sukar dikesan apabila seseorang meneliti peti masuk yang sesak.

Kempen itu, yang mula dikesan pada pertengahan Julai, menyusuli aktiviti terdahulu apabila kumpulan sama menggunakan umpan gaya ClickFix dan menghantar keluarga perisian hasad yang sama. Pengetahuan yang diperoleh dalam operasi itu nampaknya digunakan semula, kali ini digandingkan dengan grafik janaan AI untuk menjadikan cerita tersebut lebih dipercayai. Sasaran termasuk sebuah organisasi berkaitan tentera serta penyelidik, wartawan dan aktivis yang memberi tumpuan kepada Korea Utara.

Bagaimanakah skim pancingan data itu berfungsi

Umpannya mudah. Penerima mendapat mesej yang meminta mereka menyemak contoh reka bentuk kad pengenalan dengan segera. Arkib ZIP atau pautan muat turun menghantar imej dan satu atau lebih skrip. Setelah dibuka, rantaian itu melaksanakan kod yang menghubungkan komputer kepada infrastruktur penyerang, memuat turun komponen tambahan dan mewujudkan kawalan jauh. Imej itu membantu menjadikan cerita semakan reka bentuk yang tidak berbahaya kelihatan meyakinkan.

Memintas perlindungan AI dengan suntikan prompt

Kebanyakan alat AI arus perdana enggan mencipta kad pengenalan keluaran kerajaan kerana menyalin dokumen sedemikian adalah menyalahi undang-undang dan memudahkan penipuan. Dalam kes ini, penyerang nampaknya membingkaikan prompt mereka sebagai contoh reka bentuk untuk model rekaan dalaman. Pendekatan itu boleh menyebabkan model mentafsir permintaan tersebut sebagai tidak berbahaya. Ini sejenis suntikan prompt atau jailbreak, iaitu pengguna mengarah model mengelak peraturannya dengan merangka bahasa yang mengubah tanggapan terhadap niat sebenar.

Penganalisis yang meneliti salah satu imej palsu itu melaporkan bahawa pengesan deepfake memberikan kebarangkalian 98 peratus bahawa imej tersebut dijana AI. Dalam sekurang-kurangnya satu sampel, metadata imej merujuk kepada GPT 4o dan ChatGPT, menandakan saluran penjanaan imej OpenAI mungkin digunakan semasa ujian atau penghasilan. Semakin imej itu kelihatan seperti draf lencana rutin, semakin besar kemungkinan kakitangan yang tergesa-gesa menganggap permintaan itu sah.

Penghantaran perisian hasad dan rantaian pencerobohan

Pakej penghantaran berbeza-beza. Dalam satu kes yang diperhatikan, fail ZIP mengandungi pintasan yang disamarkan supaya kelihatan seperti dokumen biasa. Apabila dilancarkan, pintasan itu menjalankan arahan PowerShell yang menghubungi pelayan jauh, mengambil pintu belakang dan memuat turun imej PNG umpan kad pengenalan. Dalam kes lain, fail kelompok bernama LhUdPC3G.bat dilaksanakan bersama imej itu dan memulakan aktiviti berniat jahat, termasuk mewujudkan kegigihan serta membolehkan kecurian data dan kawalan jauh.

E-mel ini ialah pancingan data bersasar dan pengendalinya menitikberatkan perincian. Sesetengah arkib diperibadikan dengan nama sebenar penerima yang ditutup sebahagiannya untuk meningkatkan kepercayaan dan mendorong sasaran membuka lampiran. Imej kad pengenalan palsu, jenis permintaan yang biasa dan domain pengirim yang hampir serupa bergabung untuk mengatasi keraguan penerima.

Siapa yang menjadi sasaran Kimsuky, dan mengapa

Kimsuky telah dijejaki selama bertahun-tahun oleh agensi kerajaan dan penyelidik swasta sebagai unit pengumpulan risikan Korea Utara. Kumpulan itu dipercayai mengumpulkan maklumat dasar, ketenteraan dan teknologi yang selaras dengan keutamaan negara. Mangsa sasarannya sering merangkumi agensi kerajaan, institusi berkaitan pertahanan, badan pemikir, penyelidik akademik, wartawan dan organisasi hak asasi manusia yang memberi tumpuan kepada Korea Utara.

Pada Jun, penyelidik mendokumentasikan e-mel bertema ClickFix yang menggesa pengguna menekan butang untuk menyelesaikan isu yang kononnya berlaku. Kempen Julai menggunakan perisian hasad yang sama dan banyak teknik serupa, kemudian menambah contoh reka bentuk janaan AI untuk memperkukuh umpan. Ini bukan serangan besar-besaran. Sebaliknya, ia operasi yang teliti dan bersasar untuk mendapatkan akses kepada rangkaian dan peti masuk tertentu.

Atribusi dibuat berdasarkan gabungan bukti teknikal dan kontekstual, termasuk kod perisian hasad yang dikongsi, penggunaan semula infrastruktur, corak bahasa dan pemilihan sasaran. Petunjuk ini selaras dengan aktiviti yang sebelum ini dikaitkan dengan Kimsuky. Kaedah itu konsisten dengan misi jangka panjang untuk menyusup ke dalam lingkungan dasar, mengumpulkan data dan mengekalkan kedudukan dalam institusi yang memantau Korea Utara dengan teliti.

Menyamar sebagai unit yang mengeluarkan kad pengenalan mengeksploitasi proses perniagaan yang sudah difahami ramai. Dokumen pengenalan biasanya memerlukan semakan bersama, sering melibatkan perbincangan berulang tentang fon, foto dan susun atur, serta membawa aura kewibawaan tersendiri. Hal ini menjadikan permintaan untuk menyemak contoh kelihatan biasa.

Penyalahgunaan AI oleh pengendali Korea Utara semakin meluas

Operasi pancingan data ini mencerminkan pola yang lebih luas. Pada Ogos, sebuah pembangun AI utama melaporkan bahawa pihaknya telah menggagalkan operasi Korea Utara yang menggunakan modelnya untuk mencipta identiti palsu, memohon pekerjaan jarak jauh di firma teknologi Amerika Syarikat, malah menyiapkan kerja teknikal selepas diambil bekerja. Laporan sama menerangkan bagaimana akaun yang dikaitkan dengan aktiviti itu disekat dan sistem pengesanan syarikat dikemas kini bagi menangani penggunaan berniat jahat.

Taklimat keselamatan di Korea Selatan dan Amerika Syarikat memberi amaran bahawa pelaku Korea Utara menggunakan alat AI untuk menulis e-mel yang lancar, menyediakan resume dan surat iringan, merangka kod serta mencipta persona dengan foto profil profesional. Keupayaan ini membolehkan seorang pengendali kecil bekerja dengan hasil kemas seperti pasukan yang jauh lebih besar. Halangan untuk melakukannya semakin rendah. Seseorang yang mempunyai kemahiran teknikal sederhana kini boleh menggunakan AI sebagai panduan, merangka modul perisian hasad dengan lebih pantas, menterjemah kandungan ke dalam bahasa Korea atau Inggeris yang bermutu penutur jati, dan menjana bahan visual yang melepasi pemeriksaan sepintas lalu.

Penganalisis konflik digital di semenanjung itu menyatakan bahawa serangan terhadap institusi Korea Selatan meningkat dengan ketara. Sumber awam pada 2023 menyebut cubaan harian berjumlah jutaan terhadap sistem kerajaan, yang kebanyakannya dikesan berpunca daripada aktiviti Korea Utara. Laporan Pertubuhan Bangsa-Bangsa Bersatu dan penyelidikan industri yang berasingan mengaitkan unit Korea Utara dengan kecurian mata wang kripto berskala besar yang digunakan untuk membiayai program strategik. Insiden pancingan data bersasar, penipuan pekerjaan berbantu AI dan kecurian kewangan ialah sebahagian daripada strategi yang sama untuk mengumpulkan risikan dan menjana pendapatan walaupun dikenakan sekatan.

Walaupun pengendali yang berpangkalan di China dan pelaku lain yang dikaitkan dengan negara turut bereksperimen dengan AI generatif, tumpuan di sini ialah penggunaan pantas oleh unit Korea Utara untuk kegiatan pengintipan dan kewangan haram. Garis pemisah antara kit pancingan data dengan studio kandungan berbantu AI semakin kabur. Perkara yang dahulunya memerlukan pasukan pereka, penterjemah dan pembangun kini boleh dihasilkan menggunakan prompt dan segelintir alat sumber terbuka.

Mengapa AI menjadikan kejuruteraan sosial lebih meyakinkan

AI generatif mahir menghasilkan kandungan yang kemas mengikut permintaan. Dalam konteks pancingan data, ini bermakna imej, teks dan kod boleh disesuaikan kepada khalayak sasaran dengan usaha minimum. Model lencana yang meyakinkan atau kepala surat berjenama boleh melonggarkan kewaspadaan pembaca. Model yang boleh menulis dalam bahasa Korea birokratik yang formal, menggunakan akronim yang tepat dan mengekalkan nada hormat mampu menghasilkan mesej yang kelihatan dan kedengaran tulen.

Model bahasa juga berfungsi sebagai pembantu penulisan yang tidak mengenal penat. Model ini membetulkan tatabahasa, meniru gaya sesebuah institusi dan mengekalkan nada yang konsisten dalam beberapa e-mel. Penyerang boleh meminta variasi mesej yang sama untuk peranan berbeza. Model boleh menghasilkan satu draf yang kelihatan seperti notis rutin untuk pengurus sumber manusia dan satu lagi yang berbunyi seperti memorandum teknikal untuk ketua IT.

Dari sudut teknikal, pembantu pengekodan membantu pengendali yang kurang berpengalaman menggabungkan skrip dan muatan. Model menerangkan ralat, mencadangkan pembaikan dan menghasilkan contoh yang boleh dijalankan. Jika disalahgunakan, hal ini mempercepat kerja dan mengurangkan keluk pembelajaran dalam pembangunan perisian hasad. Apabila digabungkan dengan penjanaan teks dan terjemahan, seorang pengendali boleh melaksanakan kempen berbilang bahasa yang pada tahun-tahun lalu memerlukan satu pasukan.

Penciptaan identiti ialah satu lagi tonggaknya. Model boleh membantu mereka-reka sejarah pekerjaan, menghasilkan resume berformat dan merangka surat iringan yang sepadan dengan iklan kerja. Alat imej pula menghasilkan foto profil yang melepasi pemeriksaan sepintas lalu. Secara keseluruhan, keupayaan ini memudahkan penipuan e-mel perniagaan dan penyusupan jangka panjang, sekurang-kurangnya sehingga pertahanan manusia dan teknikal dapat mengejar perkembangan tersebut.

Langkah pertahanan, pengesanan dan dasar

Korea Selatan telah mengemas kini Strategi Keselamatan Siber Kebangsaannya dengan penekanan pada kerjasama antarabangsa, penggunaan teknologi canggih dan pertahanan yang lebih kukuh. Pelan itu mengutamakan pengesanan berasaskan AI untuk pemantauan masa nyata, perkongsian maklumat yang lebih mendalam dengan rakan kongsi dan peningkatan daya tahan infrastruktur kritikal. Seoul juga berusaha mempererat penyelarasan dengan Amerika Syarikat dan Jepun untuk menyelaraskan dasar serta menjalankan latihan bersama yang memfokuskan tindak balas insiden.

Organisasi boleh mengurangkan keberkesanan serangan yang menggunakan domain menyerupai dan imej deepfake melalui gabungan proses, latihan dan teknologi. Proses bermula dengan pengesahan. Permintaan yang melibatkan kelayakan atau dokumen pengenalan perlu mengikut aliran kerja yang didokumenkan, termasuk menghubungi pegawai yang dikenali melalui saluran kedua. Kakitangan perlu dilatih untuk menyemak domain huruf demi huruf dan menghalakan kursor ke pautan sebelum mengkliknya.

Kawalan teknikal membantu menghalang pelaksanaan. Gerbang e-mel perlu mengkuarantinkan mesej yang mengandungi arkib bersarang dan menyekat jenis lampiran berisiko seperti fail pintasan, imej ISO dan skrip. Matikan atau hadkan PowerShell jika boleh, dan gunakan senarai aplikasi yang dibenarkan untuk menghalang fail boleh laku yang tidak diluluskan. Pengesanan dan tindak balas titik akhir boleh mengenal pasti panggilan PowerShell berniat jahat serta sambungan keluar yang luar biasa. Pemantauan rangkaian boleh memberi amaran tentang sambungan baharu ke domain yang tidak dikenali sejurus selepas interaksi dengan e-mel.

Pengambilan pekerja dan tapisan vendor semakin penting dalam pertahanan siber. Proses pengambilan pekerja jarak jauh perlu merangkumi pemeriksaan identiti yang kukuh melalui video langsung, pengesahan pihak ketiga yang dipercayai dan pengesahan rujukan secara bebas. Sistem yang mengendalikan data sensitif perlu menguatkuasakan akses keistimewaan minimum dan pengesahan berterusan. Audit rutin boleh mengesan kelainan seperti lokasi log masuk yang luar biasa dan aktiviti di luar waktu yang dijangka.

Garis panduan undang-undang dan etika bagi AI

Insiden ini menonjolkan ketegangan dalam penggunaan AI. Perniagaan mendapat manfaat apabila pekerja boleh menggunakan AI untuk merangka dokumen, menulis kod dan memproses imej. Namun, akses mudah yang sama boleh disalahgunakan oleh pihak lawan. Pembangun AI telah memperkenalkan sistem keselamatan yang menolak kandungan berbahaya dan memantau penyalahgunaan, namun penyerang cuba memintas langkah itu dengan prompt yang mengelirukan. Komuniti pertahanan bertindak dengan berkongsi petunjuk penyalahgunaan, menghapuskan akaun yang melanggar peraturan dan memperhalus tingkah laku model supaya lebih tahan terhadap manipulasi.

Pilihan dasar dan perolehan juga penting. Agensi dan kontraktor perlu mewajibkan pembekal sistem AI menyediakan log audit, saluran pelaporan penyalahgunaan dan kemas kini untuk memperkukuh model. Peraturan korporat yang jelas tentang penggunaan AI boleh mencegah penciptaan kandungan berisiko secara tidak sengaja. Pasukan keselamatan perlu menguji model terhadap prompt jailbreak lazim dan menyediakan pilihan yang selamat serta aliran kerja yang diluluskan terlebih dahulu untuk keperluan perniagaan seperti reka bentuk dokumen atau semakan kod.

Perkara yang Perlu Diketahui

• Kimsuky menggunakan imej kad pengenalan tentera Korea Selatan yang dijana AI sebagai umpan dalam kempen pancingan data bersasar pada Julai.
• E-mel itu meminta penerima menyemak contoh reka bentuk kad pengenalan dan dihantar daripada domain yang meniru akhiran rasmi .mil.kr menggunakan .mli.kr.
• Penyiasat menemui metadata yang merujuk kepada GPT 4o dan ChatGPT dalam sekurang-kurangnya satu imej, manakala pengesan memberikan kebarangkalian 98 peratus bahawa imej palsu itu dijana AI.
• Rantaian penghantaran itu merangkumi arkib ZIP dan skrip yang melaksanakan arahan PowerShell, memasang pintu belakang dan memuat turun fail PNG umpan.
• Sasaran termasuk sebuah organisasi berkaitan tentera, penyelidik, wartawan dan aktivis hak asasi manusia yang memberi tumpuan kepada Korea Utara.
• Kempen itu menggunakan semula perisian hasad yang dikesan dalam aktiviti bertema ClickFix pada Jun dan dikaitkan dengan kumpulan yang sama.
• Menurut laporan terkini penyedia AI utama, pengendali Korea Utara turut menggunakan alat AI untuk membina identiti palsu dan memperoleh pekerjaan jarak jauh.
• Langkah pertahanan termasuk pengesahan ketat bagi permintaan berkaitan identiti, kawalan e-mel dan titik akhir yang menyekat jenis fail serta skrip berisiko, dan pemeriksaan kukuh bagi pengambilan pekerja jarak jauh.