Północnokoreańskie grupy hakerskie intensyfikują wdrażanie sztucznej inteligencji do swoich operacji. Technologia ta służy przede wszystkim do przyspieszania i skalowania dotychczasowych metod działania. Hakerzy wykorzystują narzędzia AI do automatyzacji rekonesansu, tworzenia fałszywych tożsamości, ulepszania inżynierii społecznej czy szybszego rozwijania złośliwego oprogramowania. Mimo wysokiego poziomu adopcji technologii operacje wciąż pozostają pod bezpośrednim nadzorem ludzi. Organizacje powinny wdrożyć wielopoziomowe mechanizmy obronne w celu ochrony swoich zasobów.
Nowe podejście Korei Północnej do AI
Sponsorowane przez państwo grupy hakerskie z Korei Północnej coraz częściej wykorzystują sztuczną inteligencję jako siłę napędową swoich operacji ofensywnych. Technologia ta służy im przede wszystkim do przyspieszania i skalowania już istniejących procedur ataków. Wzrost efektywności dotyczy m.in. rozpoznania, inżynierii społecznej i tworzenia fałszywych tożsamości.
Aktywność cyberprzestępców z tego kraju w dużej mierze wspiera dotychczasowe cele reżimu, takie jak generowanie przychodów, zbieranie wywiadu strategicznego czy prowadzenie działań zakłócających. Analitycy wskazują, że operacje te nadal pozostają pod nadzorem ludzi i nie osiągnęły pełnej autonomii. Mimo to stopień adopcji nowych technologii jest wysoki.
Najważniejsze północnokoreańskie grupy są na różnych etapach wdrażania sztucznej inteligencji
Poziom zaawansowania w korzystaniu ze sztucznej inteligencji różni się w zależności od konkretnej grupy. Microsoft Threat Intelligence klasyfikuje te ugrupowania w czterech kategoriach: wschodzącej, rozszerzającej się, przyspieszającej i operacyjnej. Do najbardziej zaawansowanych należą m.in. Jade Sleet, Coral Sleet oraz Jasper Sleet.
Hakerzy na potęgę automatyzują socjotechnikę
Hakerzy z Korei Północnej masowo stosują narzędzia generatywne do zbierania informacji o celach i automatyzacji procesów rekrutacyjnych. Przykładowo grupa Jade Sleet w ciągu zaledwie tygodnia przeprowadziła kampanie wymierzone w ekspertów technologicznych, korzystając z trzech fikcyjnych firm i sztucznie wygenerowanych profili.
Technologia ta pozwala na błyskawiczne przygotowywanie spersonalizowanych przynęt, takich jak fałszywe oferty pracy, wiadomości phishingowe czy dokumenty PDF. Onyx Sleet potrafi wygenerować dziesiątki dopasowanych materiałów w ciągu zaledwie kilku minut. Taka automatyzacja znacznie utrudnia wykrywanie zagrożeń przez służby bezpieczeństwa.
Oprócz fałszywych ofert zatrudnienia cyberprzestępcy badają również portfele kryptowalutowe, giełdy zdecentralizowane i luki w oprogramowaniu. Umożliwia im to szybsze zdobywanie wiedzy z danej dziedziny i prowadzenie bardziej precyzyjnych ataków na kluczowe sektory gospodarki, w tym finanse, informatykę i energetykę.
Sztuczna inteligencja wspiera także północnokoreańskie grupy w tworzeniu i modyfikowaniu złośliwego oprogramowania. Platformy deweloperskie wspomagane algorytmami pomagają w generowaniu, debugowaniu i refaktoryzacji kodu, co ułatwia hakerom szybkie omijanie zabezpieczeń antywirusowych.
Grupa Coral Sleet wdrożyła własny workflow umożliwiający "trojanizację" prywatnych repozytoriów kodu źródłowego. Z kolei Sapphire Sleet wykorzystała sztuczną inteligencję przy łamaniu oprogramowania w sierpniu 2026 r., stosując dynamiczną kompilację .NET w celu uniknięcia wykrycia przez systemy obronne.
W operacjach tych zaczynają się pojawiać również autonomiczne frameworki agentowe. Hakerzy z grup Onyx Sleet oraz Pearl Sleet wykorzystują otwartoźródłowy system ARTEX do przeprowadzania testów penetracyjnych, co potwierdza ich gotowość do szybkiego wdrażania najnowszych rozwiązań.
Chcesz być na bieżąco? Dodaj CentrumXP do listy preferowanych źródeł w Google!
Jak chronić firmę przed atakami z użyciem AI?
Aby skutecznie przeciwdziałać opisanym wyżej zagrożeniom, firmy powinny wdrożyć wielopoziomowe środki ostrożności, obejmujące zarządzanie podatnościami i ochronę punktów końcowych. Kluczowe znaczenie ma regularna aktualizacja oprogramowania, izolowanie systemów wystawionych na publiczny internet i korzystanie z zapór sieciowych.
Przedsiębiorstwa powinny również dokładnie weryfikować potencjalnych pracowników, ze szczególnym uwzględnieniem osób zatrudnianych za pośrednictwem firm zewnętrznych. Północnokoreańscy hakerzy często wykorzystują sfałszowane życiorysy, tożsamości i wygenerowane cyfrowo profile w celach infiltracji struktur technologicznych.
Microsoft zaleca korzystanie z dedykowanego panelu bezpieczeństwa Security Dashboard for AI, który scala i agreguje dane o tożsamościach, zasobach oraz ryzykach z rozwiązań Microsoft Defender, Microsoft Entra i Microsoft Purview. Narzędzie to daje organizacjom pełny wgląd w posiadane aktywa sztucznej inteligencji, pozwala identyfikować nowo powstające wzorce zagrożeń oraz właściwie priorytetyzować zarządzanie aplikacjami i agentami AI.
Z kolei rozwiązanie Microsoft Agent 365 pełni funkcję płaszczyzny kontroli nad agentami AI w środowiskach firmowych, umożliwiając bezpieczne zarządzanie ich przepływami pracy oraz stałe monitorowanie ryzyka wynikającego z zastosowania autonomicznych technologii agentowych.
Istotną rolę w przeciwdziałaniu cyberzagrożeniom odgrywa pakiet Microsoft Defender, który zapewnia zintegrowaną detekcję, prewencję i obsługę incydentów na poziomie punktów końcowych, tożsamości, poczty e-mail i aplikacji. Wdrożenie funkcji automatycznego przerywania ataków w usłudze Microsoft Defender XDR umożliwia natychmiastowe powstrzymywanie trwających incydentów, ogranicza szkody w infrastrukturze i daje zespołom bezpieczeństwa czas niezbędny do pełnego zneutralizowania zagrożenia. System ten pozwala wyłapywać nietypową aktywność logowania, podejrzane kliknięcia linków czy niestandardowe wzorce wysyłania wiadomości.
Ochrona w oparciu o oprogramowanie antywirusowe Microsoft Defender opiera się na mechanizmach uczenia maszynowego w chmurze, które w czasie rzeczywistym blokują nieznane i dynamicznie ewoluujące warianty złośliwego kodu. Platforma oferuje wsparcie EDR (Endpoint Detection and Response) w trybie blokowania, co pozwala wyeliminować szkodliwe pliki nawet wtedy, gdy podstawowy antywirus nie wykryje bezpośredniego zagrożenia lub działa w trybie biernym. Istotnym elementem jest także automatyzacja dochodzeń i napraw, dzięki której system samodzielnie podejmuje natychmiastowe działania w reakcji na alerty, znacznie redukując ich ogólną liczbę.
W przypadku Defender dla Office 365 dostępna jest funkcja ZAP (Zero-hour auto purge), która pozwala na automatyczne, wsteczne usuwanie lub przenoszenie do kwarantanny groźnych wiadomości phishingowych, spamu i złośliwego oprogramowania, które trafiły już do skrzynek odbiorców, wykorzystując najnowsze dane o zagrożeniach.
System ten zabezpiecza też użytkowników poprzez moduły bezpiecznych linków i załącznikó (Safe Links i Safe Attachments), a dodatkowo umożliwia wdrożenie reguł zmniejszania powierzchni ataku. Reguły te uniemożliwiają m.in. uruchamianie plików wykonywalnych z klientów poczty, blokują podejrzane skrypty oraz oferują zaawansowaną ochronę przed oprogramowaniem ransomware.
Dopełnienie arsenału obronnego stanowi narzędzie Microsoft Security Copilot, które wbudowane bezpośrednio w system Microsoft Defender wspomaga analityków w podsumowywaniu incydentów, analizie skryptów i tworzeniu zapytań do wyszukiwania zagrożeń. Użytkownicy mogą korzystać z gotowych agentów wspierających m.in. analizę phishingu czy reagowanie na dynamiczne zagrożenia, co pozwala na pełną kontrolę nad bezpieczeństwem infrastruktury.
