Eksperci ds. cyberbezpieczeństwa alarmują, że północnokoreańscy hakerzy coraz śmielej sięgają po generatywną sztuczną inteligencję, aby usprawniać swoje działania i tworzyć bardziej wyrafinowane ataki. Co ważne, nie chodzi już tylko o automatyczne pisanie phishingowych wiadomości, ale o znacznie szersze wykorzystanie AI w całym procesie przygotowywania operacji cybernetycznych.
AI jako narzędzie do omijania nadzoru
Jednym z głównych powodów, dla których cyberprzestępcy odchodzą od popularnych, chmurowych chatbotów, jest monitorowanie aktywności użytkowników. Korzystanie z usług takich jak ChatGPT czy Claude może pozostawiać ślady, a dostawcy coraz częściej wykrywają i blokują konta wykorzystywane do oszustw. W przypadku działań przestępczych to spore ryzyko.
Grupa Kimsuky, powiązana z reżimem z Korei Północnej, wybrała więc inne rozwiązanie. Zamiast korzystać z publicznych modeli AI online, uruchamiała narzędzia lokalnie, m.in. Ollama, GPT4All i Msty. Dzięki temu mogła analizować dokumenty i wspierać swoją pracę bez wysyłania wrażliwych danych do zewnętrznych usług.
Widać wyraźnie, że lokalne uruchamianie narzędzi AI staje się dla atakujących sposobem na większą dyskrecję. Taki model pracy utrudnia wykrycie, co dokładnie robią i jakie dane przetwarzają. To kolejny sygnał, że cyberbezpieczeństwo musi uwzględniać nie tylko narzędzia, ale też sposób ich użycia.
Nie tylko generowanie tekstu
Badacze bezpieczeństwa z firmy Genians przez wiele miesięcy analizowali infrastrukturę wykorzystaną w kampanii i zauważyli, że zastosowanie sztucznej inteligencji było znacznie bardziej zaawansowane, niż mogłoby się wydawać. Na liście znalezionych narzędzi znalazły się nie tylko lokalne duże modele językowe, ale też mechanizmy RAG do przeszukiwania dokumentów, frameworki do budowy agentów AI, oprogramowanie do zamiany tekstu na mowę oraz narzędzie Cursor wspierające programowanie.
To pokazuje, że AI nie służyła im wyłącznie do tworzenia treści. Hakerzy budowali cały ekosystem, który miał pomagać w organizacji pracy, przetwarzaniu danych i rozwijaniu kolejnych etapów operacji. Według badaczy był to raczej długofalowy proces rozwijania możliwości niż jednorazowe użycie kilku sprytnych trików.
Five Eyes ostrzega przed wykorzystywaniem AI do cyberataków To pokazuje, że problem ma charakter globalny i dotyczy już nie tylko pojedynczych grup przestępczych.
Cyberprzestępczość staje się coraz bardziej zorganizowana
Jeszcze niedawno użycie AI przez cyberprzestępców kojarzyło się głównie z masowym generowaniem wiadomości phishingowych albo tworzeniem fałszywych stron internetowych. Teraz jednak widać, że przestępcy próbują wykorzystywać te same narzędzia w bardziej kompleksowy sposób. Oznacza to większą automatyzację, lepszą organizację i potencjalnie skuteczniejsze ataki.
Bariery po stronie twórców modeli językowych nadal utrudniają bezpośrednie pisanie złośliwego kodu. Mimo to grupy takie jak Kimsuky pokazują, że nawet ograniczenia nie powstrzymują słabo zmotywowanych do działania przeciwników. Zamiast jednego prostego zastosowania, budują całe środowiska pracy oparte na AI.
Jak powinni reagować obrońcy
Analitycy podkreślają, że firmy i zespoły bezpieczeństwa muszą zmienić sposób wykrywania zagrożeń. Samo patrzenie na treść ataku lub pojedyncze wskaźniki kompromitacji może już nie wystarczyć. Coraz większe znaczenie ma analiza zachowania i korelowanie zdarzeń w szerszym kontekście.
W praktyce oznacza to obserwowanie całych sekwencji podejrzanych działań, takich jak uruchomienie pliku LNK, start PowerShella, próby utrwalenia dostępu do systemu czy komunikacja z zewnętrznymi serwerami. To właśnie taki łańcuch zdarzeń może ujawnić zagrożenie, nawet jeśli pojedyncze elementy nie wyglądają jeszcze alarmująco.
Sztuczna inteligencja jako nowa przewaga atakujących
Cała sytuacja pokazuje, że AI staje się realnym wzmacniaczem możliwości cyberprzestępców, a nie tylko modnym dodatkiem do ich narzędzi. Im bardziej dostępne i elastyczne stają się lokalne rozwiązania, tym łatwiej ukrywać aktywność przed dostawcami usług i systemami monitorującymi.
Dla obrońców oznacza to jedno: trzeba liczyć się z atakami bardziej złożonymi, lepiej przygotowanymi i trudniejszymi do wykrycia. W praktyce walka z zagrożeniami wspieranymi przez AI będzie wymagała nie tylko lepszych narzędzi, ale też nowego podejścia do analizy podejrzanych działań w sieci.
W końcu! Czekałem na takie wieści, że przestępcy sięgają po AI. To tylko potwierdza, że technologia się rozwija w każdą stronę, ale czy kiedykolwiek poczujemy się bezpieczni? Ciekawi mnie, jak szybko obrońcy zaadaptują się do tych zmian.
Za drogo jak na to, co oferują. Jak można myśleć, że hakerzy będą mieli jakieś ograniczenia, skoro mogą wykorzystać AI. Myślę, że wiele firm zlekceważy to ostrzeżenie, aż będzie za późno. Po co w ogóle inwestować w AI, skoro i tak zostanie to wykorzystane do ataków?
Zgadzam się z tym, co mówią analitycy. Ostatnio obserwuję wzrost aktywności w moim środowisku pracy i zmiany w zachowaniach plików. Używają coraz bardziej wyrafinowanej techniki. Pytanie, jak dokładnie komplementować te systemy analityczne… Może są jakieś konkretne narzędzia, które mogą pomóc w takim przypadku?
Hm, miałem podobne obawy, gdy pierwsze wiadomości o AI w cyberprzestępczości się pojawiły. To znaczy, że nie tylko sztuczna inteligencja jest zagrożeniem, ale też nasza niezdolność do dostosowania się do tak szybko zmieniającego się otoczenia. Mój zespół już planuje szkolenia dotyczące świeżych metod ataków.
Wydaje mi się, że to wszystko zmierza w niebezpiecznym kierunku. AI wspomaga nie tylko obronę, ale i atakujących. Jeśli będą potrafili lepiej analizować dane i szybciej reagować, co zostanie z naszej obrony? W końcu hakerzy zawsze znajdą sposób, by to wykorzystać, a nasze systemy będą tylko krok za nimi.
Mam to od pół roku i nie wiem, czy to zadziała w walce z tymi nowymi zagrożeniami. Widzę, że niektóre techniki są skomplikowane, a czasami po prostu niektóre narzędzia nie działają tak, jak powinny. Czy warto w ogóle inwestować w programy AI do obrony, skoro widać, że przestępcy nie śpią?
Ciekawe, jak analitycy będą musieli zmienić swoje podejście do tego tematu. Na pewno nie wystarczy już tylko monitorować pojedyncze ataki. Trzeba myśleć na szerszą skalę, a to wymaga dużo więcej czasu i zasobów. Nowy sposób pracy hakerów pokazuje, że czas na starą szkołę już minął.