Hackers norte-coreanos usam IA em ataques de phishing contra militares sul-coreanos

Uma novidade de IA em um conhecido manual de operações do Kimsuky

O grupo norte-coreano Kimsuky usou inteligência artificial para dar credibilidade a uma campanha de phishing com imagens convincentes de carteiras de identificação de funcionários militares sul-coreanos, segundo uma análise detalhada de uma empresa sul-coreana de cibersegurança. As iscas pediam que os destinatários avaliassem modelos de carteiras de identificação para funcionários civis, um pedido que pareceria rotineiro dentro de uma burocracia de defesa. As imagens anexadas pareciam crachás legítimos, mas os investigadores afirmam que os gráficos foram produzidos por um modelo de IA generativa e distribuídos com malware capaz de assumir o controle do computador da vítima.

Os e-mails se passavam por uma instituição ligada à defesa responsável pela emissão de carteiras de identificação. Os invasores tentaram tranquilizar os destinatários anexando imagens PNG que pareciam modelos preliminares de carteiras. Na mesma cadeia de distribuição, havia arquivos que ativavam uma porta dos fundos quando o alvo interagia com o conteúdo. As imagens provavelmente foram criadas com comandos dados a um sistema comercial de IA para gerar modelos de teste, e não documentos de identificação reais, uma técnica que pode enganar mecanismos automatizados de proteção.

O endereço do remetente também imitava um domínio militar confiável. Os investigadores observaram domínios falsos como .mli.kr, parecido com o sufixo oficial de defesa da Coreia do Sul, .mil.kr, para enganar destinatários que procurassem sinais familiares. Pequenas alterações desse tipo são uma tática comum de engenharia social e podem passar despercebidas quando alguém examina rapidamente uma caixa de entrada movimentada.

A campanha, detectada pela primeira vez em meados de julho, ocorreu após atividades anteriores em que o mesmo grupo usou uma isca no estilo ClickFix e distribuiu a mesma família de malware. O conhecimento adquirido nessas operações parece ter sido reaproveitado, agora combinado com gráficos gerados por IA para tornar a história mais convincente. Entre os alvos estavam uma organização ligada às Forças Armadas, além de pesquisadores, jornalistas e ativistas que acompanham a Coreia do Norte.

Como funcionava o esquema de phishing

A isca era simples. Os destinatários recebiam uma mensagem pedindo uma rápida avaliação de modelos de carteiras de identificação. Um arquivo ZIP ou um link para download fornecia uma imagem e um ou mais scripts. Ao serem abertos, os arquivos executavam um código que conectava o computador à infraestrutura dos invasores, baixava componentes adicionais e estabelecia o controle remoto. A imagem ajudava a sustentar a história de que se tratava de uma revisão inofensiva de design.

Como contornar as proteções de IA com injeção de prompt

A maioria das ferramentas de IA mais populares se recusa a criar documentos de identidade emitidos pelo governo, já que copiá-los é ilegal e facilita fraudes. Neste caso, os invasores parecem ter apresentado seus comandos como pedidos de modelos para um projeto interno. Essa abordagem pode levar o modelo a interpretar a solicitação como inofensiva. Trata-se de uma forma de injeção de prompt ou jailbreak, em que o usuário contorna as regras do modelo ao formular o pedido de modo a redefinir sua intenção.

Analistas que examinaram uma das imagens falsas relataram que um detector de deepfakes apontou 98 por cento de probabilidade de ela ter sido gerada por IA. Em pelo menos uma amostra, os metadados da imagem faziam referência ao GPT 4o e ao ChatGPT, o que sugere que um sistema de geração de imagens da OpenAI foi usado durante os testes ou a produção. Quanto mais a imagem se parecia com um modelo rotineiro de crachá, maior a chance de um funcionário apressado considerar legítimo o pedido.

Distribuição de malware e cadeia de invasão

O pacote de distribuição variava. Em um caso observado, um arquivo ZIP continha um atalho disfarçado de documento comum. Quando aberto, ele executava um comando do PowerShell que se conectava a um servidor remoto, buscava uma porta dos fundos e baixava a imagem PNG isca da carteira de identificação. Em outro caso, um arquivo em lote chamado LhUdPC3G.bat era executado junto com a imagem e iniciava atividades maliciosas, incluindo a manutenção do acesso e a habilitação do roubo de dados e do controle remoto.

Esses eram e-mails de spear phishing, e os operadores cuidavam dos detalhes. Alguns arquivos eram personalizados com o nome verdadeiro do destinatário parcialmente oculto, para aumentar a confiança e incentivá-lo a abrir o anexo. As imagens falsas das carteiras, o tipo de solicitação familiar e a semelhança do domínio do remetente se combinaram para fazer os destinatários baixarem a guarda.

Quem o Kimsuky tem como alvo e por quê

Há anos, órgãos governamentais e pesquisadores do setor privado monitoram o Kimsuky, considerado uma unidade norte-coreana de coleta de informações. Avalia-se que o grupo reúna informações sobre políticas públicas, assuntos militares e tecnologia alinhadas às prioridades do Estado. Entre suas vítimas estão frequentemente órgãos governamentais, instituições ligadas à defesa, centros de pesquisa, pesquisadores acadêmicos, jornalistas e organizações de direitos humanos que acompanham a Coreia do Norte.

Em junho, pesquisadores documentaram e-mails com iscas no estilo ClickFix que incentivavam os usuários a apertar um botão para resolver um suposto problema. A campanha de julho reutilizou o mesmo malware e muitas das mesmas técnicas, acrescentando modelos de design gerados por IA para tornar a isca mais convincente. Não foi uma campanha de envio em massa. Foi uma operação cuidadosa e direcionada, que buscava acesso a redes e caixas de entrada específicas.

A atribuição se baseou em uma combinação de evidências técnicas e contextuais, incluindo código de malware compartilhado, reutilização de infraestrutura, padrões de linguagem e escolha dos alvos. Esses indicadores são compatíveis com atividades anteriormente vinculadas ao Kimsuky. O método condiz com uma missão de longa data para se infiltrar em círculos ligados à formulação de políticas, coletar dados e manter presença em instituições que acompanham de perto a Coreia do Norte.

Fingir ser uma unidade responsável pela emissão de carteiras de identificação explora um processo administrativo bem conhecido. Documentos de identidade costumam ser submetidos à análise de várias pessoas, envolvem discussões sobre fontes, fotos e layout e carregam uma aura implícita de autoridade. Isso faz com que o pedido para conferir um modelo pareça comum.

Um padrão crescente de uso indevido de IA por operadores norte-coreanos

A operação de phishing se encaixa em um padrão mais amplo. Em agosto, uma importante desenvolvedora de IA informou ter interrompido as atividades de operadores norte-coreanos que usaram seu modelo para criar identidades falsas, se candidatar a vagas remotas em empresas de tecnologia dos Estados Unidos e até realizar trabalho técnico depois de serem contratados. O mesmo relatório descreveu como as contas ligadas a essas atividades foram banidas e como a empresa atualizou seus sistemas de detecção de uso malicioso.

Informes de segurança na Coreia do Sul e nos Estados Unidos alertam que agentes norte-coreanos usam ferramentas de IA para escrever e-mails fluentes, elaborar currículos e cartas de apresentação, redigir código e criar perfis com fotos profissionais. Esses recursos permitem que um pequeno operador atue com o refinamento de uma equipe muito maior. A barreira de entrada diminuiu. Alguém com conhecimentos técnicos modestos pode recorrer à IA para obter orientação, criar módulos de malware mais rapidamente, traduzir conteúdo para um coreano ou inglês de qualidade nativa e gerar recursos visuais que passam em uma rápida inspeção.

Analistas de conflitos digitais na península observaram um aumento nos ataques contra instituições sul-coreanas. Fontes públicas citaram, em 2023, milhões de tentativas diárias contra sistemas governamentais, muitas delas atribuídas a atividades norte-coreanas. Relatórios separados das Nações Unidas e pesquisas do setor associaram unidades norte-coreanas a grandes roubos de criptomoedas usados para financiar programas estratégicos. Os episódios de spear phishing, as fraudes de emprego com auxílio de IA e os roubos financeiros fazem parte da mesma estratégia para coletar informações e gerar receita apesar das sanções.

Embora operadores baseados na China e outros agentes ligados a Estados também estejam experimentando a IA generativa, o foco aqui é a rápida adoção da tecnologia por unidades norte-coreanas para espionagem e financiamento ilícito. A fronteira entre um kit de phishing e um estúdio de criação de conteúdo com IA ficou menos nítida. O que antes exigia equipes de designers, tradutores e desenvolvedores agora pode ser feito com comandos e algumas ferramentas de código aberto.

Por que a IA torna a engenharia social mais convincente

A IA generativa é muito eficiente em produzir conteúdo refinado sob demanda. No contexto do phishing, isso significa criar imagens, textos e códigos adaptados ao público-alvo com pouco esforço. Um modelo convincente de crachá ou um papel timbrado com a identidade visual da instituição deixam o leitor menos alerta. Um modelo capaz de escrever em coreano burocrático formal, incluir as siglas certas e manter um tom respeitoso produz mensagens que parecem autênticas.

Os modelos de linguagem também funcionam como assistentes de redação incansáveis. Eles corrigem a gramática, imitam o estilo de uma instituição e mantêm um tom consistente em vários e-mails. Os invasores podem pedir versões da mesma mensagem para diferentes cargos. Um modelo pode produzir um rascunho que pareça um aviso rotineiro para um gerente de RH e outro com a aparência de um memorando técnico para um responsável de TI.

Na área técnica, assistentes de programação ajudam operadores menos experientes a combinar scripts e cargas maliciosas. Os modelos explicam erros, sugerem correções e produzem exemplos funcionais. Quando usada de forma indevida, essa capacidade acelera o processo e reduz a curva de aprendizado no desenvolvimento de malware. Com a geração e a tradução de textos, um único operador pode conduzir campanhas multilíngues que, anos atrás, exigiriam uma equipe.

A criação de identidades é outro pilar. Os modelos podem ajudar a inventar históricos profissionais, formatar currículos e redigir cartas de apresentação alinhadas às vagas. Ferramentas de imagem criam fotos de perfil que passam por uma rápida inspeção. Em conjunto, esses recursos facilitam fraudes por comprometimento de e-mail corporativo e infiltrações de longo prazo, pelo menos até que as defesas humanas e técnicas consigam acompanhá-los.

Defesa, detecção e respostas de políticas públicas

A Coreia do Sul atualizou sua Estratégia Nacional de Cibersegurança, dando ênfase à cooperação internacional, à adoção de tecnologias avançadas e ao fortalecimento das defesas. O plano destaca a detecção com IA para monitoramento em tempo real, o compartilhamento mais amplo de informações com parceiros e melhorias na resiliência da infraestrutura crítica. Seul também buscou maior coordenação com os Estados Unidos e o Japão para alinhar políticas e realizar exercícios conjuntos voltados à resposta a incidentes.

Organizações podem reduzir o impacto de ataques que usam domínios semelhantes aos legítimos e imagens deepfake combinando processos, treinamento e tecnologia. O primeiro passo é a verificação. Solicitações que envolvam credenciais ou documentos de identidade devem seguir um fluxo de trabalho documentado, que inclua o contato com um funcionário conhecido por um canal secundário. Os funcionários devem aprender a conferir os domínios letra por letra e passar o cursor sobre os links antes de clicar.

Controles técnicos ajudam a impedir a execução de arquivos. Os gateways de e-mail devem colocar em quarentena mensagens com arquivos compactados aninhados e bloquear tipos de anexos arriscados, como atalhos, imagens ISO e scripts. Desative ou restrinja o PowerShell sempre que possível e use listas de permissões de aplicativos para impedir a execução de programas não autorizados. Sistemas de detecção e resposta em endpoints podem identificar chamadas maliciosas do PowerShell e conexões de saída incomuns. O monitoramento de rede pode gerar alertas sobre novas conexões com domínios desconhecidos logo após uma interação com um e-mail.

A verificação de candidatos e fornecedores é uma parte cada vez mais importante da defesa cibernética. Processos de contratação remota devem incluir verificações robustas de identidade, com vídeo ao vivo, validação por terceiros confiáveis e checagem independente de referências. Sistemas que lidam com dados sensíveis devem aplicar o princípio do menor privilégio e exigir verificação contínua. Auditorias de rotina podem detectar anomalias, como locais de acesso incomuns e atividades fora do horário esperado.

Proteções legais e éticas para a IA

O incidente evidencia uma tensão na adoção da IA. Empresas se beneficiam quando os funcionários podem usar IA para redigir documentos, escrever código e processar imagens. A mesma acessibilidade, porém, pode ser explorada por adversários. Desenvolvedoras de IA implementaram sistemas de segurança que recusam conteúdos prejudiciais e monitoram usos indevidos, mas os invasores tentam contornar essas medidas com comandos enganosos. A comunidade de defesa respondeu compartilhando indicadores de abuso, removendo contas infratoras e aperfeiçoando o comportamento dos modelos para resistir a manipulações.

As decisões sobre políticas e aquisição de tecnologia são importantes. Órgãos públicos e contratados devem exigir que fornecedores de sistemas de IA disponibilizem registros de auditoria, canais para denúncia de abusos e atualizações que reforcem a segurança dos modelos. Regras corporativas claras para o uso de IA podem impedir a criação acidental de conteúdo arriscado. As equipes de segurança devem testar os modelos com comandos de jailbreak comuns e oferecer alternativas seguras e fluxos de trabalho pré-aprovados para necessidades empresariais, como design de documentos ou revisão de código.

O que saber

• O Kimsuky usou imagens de carteiras de identificação militares sul-coreanas geradas por IA como iscas em uma campanha de spear phishing em julho.
• Os e-mails pediam que os destinatários avaliassem modelos de carteiras de identificação e vinham de um domínio que imitava o sufixo oficial .mil.kr com .mli.kr.
• Os investigadores encontraram metadados que faziam referência ao GPT 4o e ao ChatGPT em pelo menos uma imagem, e um detector apontou 98 por cento de probabilidade de uma imagem falsa ter sido gerada por IA.
• A cadeia de distribuição incluía arquivos ZIP e scripts que executavam comandos do PowerShell, instalavam uma porta dos fundos e baixavam um arquivo PNG de isca.
• Entre os alvos estavam uma organização ligada às Forças Armadas, pesquisadores, jornalistas e ativistas de direitos humanos que acompanham a Coreia do Norte.
• A campanha reutilizou malware observado em atividades de junho com iscas no estilo ClickFix, atribuídas ao mesmo grupo.
• Segundo um relatório recente de uma importante desenvolvedora de IA, operadores norte-coreanos também usaram ferramentas de IA para criar identidades falsas e conseguir empregos remotos.
• As defesas incluem a verificação rigorosa de solicitações relacionadas a identidade, controles de e-mail e endpoints que bloqueiem tipos de arquivo e scripts arriscados e verificações robustas em contratações remotas.