Nowości
Microsoft: północnokoreańskie grupy hakerskie wdrożyły AI do rutynowych operacji, trzy z nich w pełnej skali
Microsoft Threat Intelligence ocenia, że adopcja AI wśród północnokoreańskich grup jest wysoka. Trzy z nich wbudowały ją w rutynowe działania, a dwie od końca października używają agentowego frameworka ARTEX.
Spis treści
Północnokoreańscy hakerzy przestali traktować AI jako eksperyment. Z raportu Microsoft Threat Intelligence z 29 października wynika, że część grup włączyła ją do codziennych procesów, a dwie kolejne od końca października wykorzystują w operacjach otwartoźródłowe narzędzie ARTEX.
Cztery etapy adopcji
Microsoft przypisuje najgroźniejsze północnokoreańskie grupy do czterech stopni dojrzałości: początkowego, rozszerzania, przyspieszania i pełnego wdrożenia. Do ostatniej kategorii zalicza Jade Sleet, Coral Sleet i Jasper Sleet, u których AI jest wbudowana w rutynowe procesy w całej działalności.
W fazie przyspieszania firma umieszcza Diamond Sleet, Onyx Sleet, Pearl Sleet i Sapphire Sleet. Emerald Sleet jest w fazie rozszerzania, bo AI pojawia się u niej w części procesów, a jej wpływ jest mniejszy niż u pozostałych. Żadnej grupy Microsoft nie przypisał do poziomu początkowego.
ARTEX i przynęty w minutach
ARTEX to otwartoźródłowy, agentowy framework do testów penetracyjnych. Według Microsoftu Onyx Sleet i Pearl Sleet stosują go w operacjach od końca października 2026, co firma odczytuje jako sygnał, że te grupy szybko przejmują nowe technologie AI. Raport nie podaje szczegółów technicznych samego narzędzia.
Onyx Sleet przypisano ponad 100 plików PDF z przynętami, stworzonych w sierpniu i wrześniu 2026 z danymi dopasowanymi do celu. Metadane pokazały, że dziesiątki plików powstały w ciągu minut, co Microsoft uznaje za „highly likely” wynik pracy platformy AI. Przynęty służyły do masowego phishingu wobec użytkowników w Korei Południowej.
Kod, firmy-przykrywki i fałszywi pracownicy
Microsoft wskazuje, że platformy do programowania wspomaganego AI, w tym Cursor, prawdopodobnie pomagały Jade Sleet, Coral Sleet, Pearl Sleet i Sapphire Sleet. Chodzi o generowanie, konwersję, debugowanie i refaktoryzację kodu oraz skrypty, trwałość w systemie i zaciemnianie. Według raportu przyspiesza to także przebudowę narzędzi po tym, jak obrońcy coś zablokują.
Jade Sleet między 8 a 12 czerwca 2026 prowadziła kampanie rekrutacyjne przez trzy firmy-przykrywki. Pierwsza udawała firmę od analityki blockchain opartej na AI, kolejne dwie dołączyły później. Diamond Sleet tworzyła fikcyjne firmy telekomunikacyjne ze stronami i personami, by uderzać w operatorów telekomunikacyjnych.
Jasper Sleet posługuje się fałszywymi tożsamościami, by zdobywać zdalne prace, a AI pomaga w tworzeniu CV, utrzymywaniu person i spójnej komunikacji między wieloma fałszywymi pracownikami. Raport nie podaje liczby takich osób.
Zastrzeżenia i zalecenia
Microsoft zastrzega, że operacje z udziałem AI pozostają kierowane przez człowieka i nie stały się w pełni autonomiczne. AI przede wszystkim przyspiesza istniejące techniki i zwiększa produktywność operatorów, nie zmienia zaś celów grup. Część przypisań jest ostrożna: raport używa określeń „likely” i „highly likely”, na przykład przy prawdopodobnym użyciu AI przez Sapphire Sleet podczas sierpniowego ataku na oprogramowanie z ekosystemu Rust i przy trojanizowaniu repozytoriów GitHub przez Coral Sleet.
Microsoft zaleca m.in. zarządzanie podatnościami i izolowanie systemów wystawionych do sieci, szkolenia z phishingu, ochronę przed złośliwym oprogramowaniem (EDR w trybie blokowania) oraz staranną weryfikację kandydatów do pracy: duplikaty profili i numerów telefonów, rozmowy z włączoną kamerą, sprawdzanie śladu cyfrowego. Dla polskich firm zatrudniających zdalnie to ostatnie ma praktyczne znaczenie, bo raport opisuje zdobywanie pracy zdalnej na fałszywe tożsamości, a zalecenia dotyczące weryfikacji kandydatów mają charakter ogólny.
