Báo cáo của Microsoft: Tin tặc Triều Tiên đã sử dụng AI để sản xuất hàng loạt mồi nhử, tạo ra hàng chục tài liệu lừa đảo chỉ trong vài phút

Tác giả: Shenchao TechFlow

Tóm tắt của Shenchao: Cuộc chiến mạng đang được AI sinh ra hoàn toàn định hình lại. Vào ngày 30 tháng 10, bộ phận tình báo về mối đe dọa của Microsoft đã phát hành một báo cáo quan trọng, tiết lộ tình hình nghiêm trọng về việc các tổ chức tin tặc Triều Tiên mở rộng ứng dụng AI. Trong số 8 tổ chức được giám sát, đã có 3 tổ chức tích cực tích hợp AI vào quy trình xâm nhập hàng ngày.

Từ việc tạo ra hàng loạt mồi nhử PDF tùy chỉnh trong vài phút, đến việc sử dụng công cụ lập trình AI để hỗ trợ viết mã độc, hiệu suất và tính ẩn danh của các cuộc tấn công đã đạt được bước nhảy vọt. Điều đáng lo ngại hơn là chuỗi tuyển dụng giả và giả mạo danh tính đang được AI làm cho trở nên tinh vi hơn, khiến cho hệ thống phòng thủ truyền thống trở nên khó khăn hơn để chống lại.

Mặc dù Microsoft đánh giá rằng các tổ chức liên quan vẫn chưa đạt được vòng tấn công hoàn toàn tự động, nhưng việc ứng dụng thực tế các khung xâm nhập AI mã nguồn mở đã tuyên bố sự xuất hiện của chiến tranh mạng thông minh. Sự chuyển đổi này trong phương thức tấn công và phòng thủ đã đặt ra những thách thức mới toàn diện cho các doanh nghiệp toàn cầu trong việc phòng thủ điểm cuối, kiểm tra chuỗi cung ứng và kiểm toán chứng từ.

AI trở thành công cụ xâm nhập hàng ngày: Microsoft xác định ba nhóm hàng đầu với xếp hạng cao nhất

Theo báo cáo của 0;Hãng thông tấn Hàn Quốc0;, bộ phận tình báo về mối đe dọa của Microsoft gần đây đã chính thức phát hành một báo cáo nghiên cứu đặc biệt, chi tiết về những xu hướng mới nhất trong việc mở rộng ứng dụng AI của các tổ chức tin tặc Triều Tiên, liên quan đến các cuộc tấn công lừa đảo, giả mạo danh tính, tạo mã độc và đầu độc chuỗi cung ứng phần mềm.

Microsoft đã thực hiện một bức tranh khả năng hệ thống cho 8 tổ chức tin tặc chính của Triều Tiên đang hoạt động. Điều đáng lo ngại là trong số đó, đã có 3 tổ chức hoàn thành việc tích hợp sâu sắc các công cụ AI vào quy trình tấn công hàng ngày, đạt được mức độ cao nhất trong mô hình trưởng thành ứng dụng AI về mối đe dọa mạng mà Microsoft định nghĩa.

Cuộc điều tra cho thấy, sự can thiệp của AI không còn dừng lại ở việc xác thực khái niệm bên ngoài, mà đã bao trùm toàn bộ chuỗi từ khảo sát ban đầu, lừa đảo xã hội, giả mạo danh tính, viết mã độc cho đến đầu độc chuỗi cung ứng phần mềm, đánh dấu một sự chuyển biến chất lượng trong chiến thuật và phương pháp của các tổ chức APT cấp quốc gia.

Tạo ra hàng chục tài liệu trong vài phút: Mồi nhử PDF giả mạo chính xác xuyên thủng phòng thủ

Trong lĩnh vực kỹ thuật xã hội, AI đã hoàn toàn phá vỡ rào cản ngôn ngữ và văn hóa trong các cuộc tấn công xuyên biên giới. Báo cáo nhấn mạnh rằng trong khoảng thời gian từ tháng 8 đến tháng 9 năm nay, một tổ chức đã tập trung sản xuất hơn 100 tài liệu mồi nhử PDF tùy chỉnh cao nhằm vào nhóm mục tiêu Hàn Quốc.

Dựa vào khả năng tạo văn bản và định dạng của mô hình ngôn ngữ lớn, kẻ tấn công chỉ cần vài phút trong một số tình huống thực tế để liên tục sản xuất hàng chục mồi nhử mới. Những tài liệu giả mạo này rất chân thực về ngữ pháp, định dạng văn bản và chi tiết ngữ cảnh, làm tăng đáng kể tỷ lệ nhấp chuột và khả năng bị mắc bẫy của nạn nhân.

Khả năng sản xuất mồi nhử hàng loạt theo cách công nghiệp này khiến chi phí biên của các cuộc tấn công lừa đảo gần như bằng không. Các cổng an ninh truyền thống dựa trên đặc điểm tệp tĩnh và khớp từ khóa, đang phải đối mặt với tình trạng báo cáo sai và mất khả năng nhận diện chưa từng có trước hàng triệu mồi nhử biến thể AI không có mẫu lặp lại.

Danh tính giả và hỗ trợ mã: Chuỗi sản xuất đen tối đa chiều đang mở rộng bí mật

Ngoài tài liệu mồi nhử, AI cũng được sử dụng rộng rãi trong việc tuyển dụng giả và giả mạo danh tính. Tin tặc sử dụng mô hình để giả mạo hồ sơ nhằm xâm nhập vào các công ty công nghệ. (Để biết thêm chi tiết, khuyến nghị đọc ";Bộ Tài chính Mỹ siết chặt việc chống rửa tiền của Triều Tiên: Trừng phạt 10 cá nhân và 1 thực thể;")

Trong lĩnh vực tấn công và phòng thủ mã, Microsoft đã quan sát thấy rằng các nhóm tấn công có thể đang sử dụng các trợ lý lập trình AI phổ biến như Cursor để tăng tốc đáng kể việc viết logic mã độc và gỡ lỗi không bị phát hiện. Việc sử dụng công cụ này không chỉ rút ngắn chu kỳ phát triển mà còn xóa bỏ thói quen viết mã cá nhân của tin tặc.

Hơn nữa, tổ chức tinh nhuệ Onyx Sleet và Pearl Sleet thuộc Cơ quan Tình báo Quốc gia Triều Tiên đã được xác nhận từ cuối tháng 10 rằng họ đã triển khai khung thử nghiệm xâm nhập mã nguồn mở ARTEX vào các hoạt động hàng đầu, sử dụng kết quả của đội đỏ trong hệ sinh thái mã nguồn mở để thực hiện tự động hóa phát hiện mạng mục tiêu.

Ngưỡng tự động hóa sắp đến: An ninh mạng toàn cầu bước vào cuộc chiến thông minh

Mặc dù chuỗi công cụ của kẻ tấn công ngày càng sắc bén, Microsoft cũng đã đưa ra những đánh giá hợp lý trong báo cáo. Các chuyên gia chỉ ra rằng hiện tại các tổ chức tin tặc Triều Tiên vẫn chưa có khả năng thực hiện các cuộc tấn công hoàn toàn tự động, AI hiện tại vẫn đóng vai trò là một bộ tăng hiệu suất và hỗ trợ lái chính.

Nhưng điều này không có nghĩa là ngành an ninh có thể lơ là. Từ việc tinh chỉnh các kịch bản mã đơn điểm, đến việc phối hợp giữa người và máy để phát động các cuộc tấn công định hướng phức tạp, khoảng thời gian giữa hai bên tấn công và phòng thủ đang bị thu hẹp mạnh mẽ. Phía phòng thủ cần nhanh chóng chuyển từ phản ứng thụ động truyền thống sang giám sát động dựa trên hành vi AI.

Với sự tiến hóa liên tục của các mô hình lớn mã nguồn mở và công nghệ suy diễn ở đầu cuối, các cuộc tấn công mạng nhằm vào cơ sở hạ tầng quan trọng và hệ thống tài chính mã hóa sẽ trở nên thường xuyên hơn. Các tổ chức toàn cầu cần khẩn trương xây dựng hàng rào bảo vệ trong kiểm toán chuỗi cung ứng, nâng cao nhận thức an toàn của nhân viên và xác thực đa yếu tố để đối phó với cơn bão mạng thông minh sắp tới.