Ta strona używa plików cookies, aby zapewnić najlepszą jakość korzystania z naszego serwisu oraz do celów analitycznych. Klikając "Akceptuję", wyrażasz zgodę na używanie wszystkich plików cookies. Możesz również odrzucić zgodę, co spowoduje zablokowanie plików cookies analitycznych. Więcej informacji znajdziesz w naszej Polityce Prywatności.
Grupy z Korei Północnej coraz szerzej wykorzystują AI. Microsoft opisuje cztery etapy adopcji
Microsoft ocenia poziom wykorzystania AI przez północnokoreańskie grupy jako wysoki.
AI służy głównie do przyspieszania rozpoznania, socjotechniki, tworzenia narzędzi i powtarzalnych zadań.
Jade Sleet, Coral Sleet i Jasper Sleet miały wdrożyć AI do całych swoich procesów operacyjnych.
Operacje nadal nie są w pełni autonomiczne, ponieważ cele i intencje wyznaczają operatorzy.
Sponsorowane
Odkryj rewolucyjną metodę nauki języków
Sprawdź jak w 30 dni opanować podstawy dowolnego języka obcego bez wychodzenia z domu.
Grupy cyberzagrożeń powiązane z Koreą Północną coraz szerzej wykorzystują sztuczną inteligencję do przyspieszania i skalowania operacji. Z analizy Microsoft Threat Intelligence wynika, że AI wspiera między innymi rozpoznanie celów, przygotowywanie fałszywych tożsamości, tworzenie treści socjotechnicznych, rozwój narzędzi oraz wykonywanie powtarzalnych zadań. Nie oznacza to jednak, że kampanie stały się autonomiczne. Według Microsoftu ich cele i najważniejsze decyzje nadal wyznaczają ludzie.
AI jako wzmacniacz dotychczasowych metod
Microsoft ocenia ogólny poziom adopcji AI wśród północnokoreańskich aktorów jako wysoki. Technologia nie zmieniła zasadniczo motywacji tych grup, lecz zwiększa ich możliwości w ramach już stosowanych schematów. Koreańska Republika Ludowo-Demokratyczna działa pod rozległymi sankcjami międzynarodowymi, a operacje cybernetyczne i inne nielegalne mechanizmy są wykorzystywane do omijania ograniczeń oraz realizacji celów państwowych. Działania grup obejmują przede wszystkim generowanie przychodów dla reżimu, pozyskiwanie strategicznych informacji, a w niektórych przypadkach także cele polityczne o charakterze zakłócającym lub destrukcyjnym.
Jade Sleet miała w jednym tygodniu prowadzić kampanie za pośrednictwem trzech firm przykrywkowych.
Onyx Sleet przygotował ponad 100 plików PDF służących jako przynęty, a dziesiątki dokumentów powstawały w ciągu kilku minut.
Coral Sleet od kwietnia 2026 roku wykorzystuje proces służący do trojanizowania prywatnych repozytoriów GitHub.
Onyx Sleet i Pearl Sleet korzystają z otwartoźródłowego, agentowego frameworka AI do testów penetracyjnych o nazwie ARTEX
Słownik artykułu
Pojęcia, które warto znać
Krótkie objaśnienia terminów występujących w tekście. Każde hasło prowadzi do szerszej definicji i przykładów użycia.
Microsoft podzielił obserwowane grupy na cztery poziomy adopcji AI: rozwijający się, rozszerzający, przyspieszający i operacjonalizowany. Na najwyższym poziomie znajdują się Jade Sleet, Coral Sleet i Jasper Sleet. Według oceny firmy AI jest u nich stałym elementem całych procesów operacyjnych, które często obejmują ataki oparte na tożsamości i zwodniczej socjotechnice. Na poziomie przyspieszającym sklasyfikowano Diamond Sleet, Onyx Sleet, Pearl Sleet i Sapphire Sleet. Grupy te szybko rozszerzają użycie AI na wiele funkcji, ale pełne wdrożenie nie musi jeszcze obejmować wszystkich etapów operacji. Emerald Sleet znajduje się na poziomie rozszerzającym, co oznacza wykorzystanie AI w wybranych działaniach, bez dowodów na taki sam zakres i wpływ jak w przypadku najbardziej zaawansowanych grup. Microsoft nie zaklasyfikował obecnie żadnego północnokoreańskiego aktora do poziomu wyłącznie eksperymentalnego.
Rozpoznanie celów i fałszywe tożsamości
Jednym z najważniejszych zastosowań generatywnej AI, określanej też jako generative AI, jest przygotowanie rozpoznania przed rozpoczęciem kontaktu z ofiarą. Microsoft wskazuje, że grupy zbierają informacje o organizacjach i ich pracownikach, a następnie wykorzystują je do dopasowania treści oraz sposobu prowadzenia rozmowy. Przykładem jest aktywność Jade Sleet z okresu od 8 do 12 czerwca 2026 roku. Grupa kierowała oferty pracy do osób związanych między innymi z cyberbezpieczeństwem, AI, blockchainem i rekrutacją. Posługiwała się dopasowanymi domenami, profilami w mediach społecznościowych oraz wiedzą branżową, aby przedstawiać się jako rekruterzy fikcyjnej firmy zajmującej się analizą blockchaina wspieraną przez AI. Kontakt miał prowadzić do rozmów kwalifikacyjnych dla inżynierów oprogramowania. W tym samym krótkim okresie Jade Sleet korzystała z dwóch kolejnych firm przykrywkowych, używając podobnej infrastruktury i wiedzy o branżach. Microsoft ocenia, że tempo oraz zakres kampanii wskazują na wykorzystanie AI do szybkiego opracowywania wiedzy o celach, dopasowania rozpoznania i zwiększenia skali kontaktów.
Podobny kierunek widać w działaniach Jasper Sleet, który wykorzystuje platformy generatywnej AI do budowania fałszywych cyfrowych person. Podejrzewane użycie AI i narzędzi agentowych przy przygotowywaniu życiorysów miało zwiększyć szybkość, skalę i dopasowanie tych person w porównaniu z wcześniejszymi działaniami. Microsoft wskazuje również na powtarzalne narzędzia wspierające operacje związane z zatrudnieniem. Mają one ułatwiać składanie aplikacji i bardziej wiarygodne uczestniczenie w procesach rekrutacyjnych zaatakowanych organizacji. Jasper Sleet wykorzystuje także AI do utrzymywania spójnej komunikacji i zachowania wielu fałszywych person pracowników.
Fałszywe oferty pracy i rozmowy rekrutacyjne są częścią szerszego schematu. Sapphire Sleet, Jade Sleet i Coral Sleet używają socjotechniki związanej z zatrudnieniem oraz rozmowami kwalifikacyjnymi, natomiast Jasper Sleet posługuje się fałszywymi tożsamościami, aby uzyskać legalną pracę zdalną. AI może w takim modelu pomagać w przygotowaniu wiarygodnych przynęt, tworzeniu person i prowadzeniu kontaktu w sposób utrudniający wykrycie. Microsoft odnotował również możliwe wykorzystanie syntetycznych mediów, czyli synthetic media, przez Emerald Sleet. Chodzi o tworzone przez AI materiały głosowe i wideo. Firma zaznacza, że nie ustaliła pełnego wpływu tych narzędzi na operacje, ale ocenia, że podobne możliwości mogą być przydatne wielu grupom, ponieważ wzmacniają istniejące techniki socjotechniczne.
Automatyczne tworzenie przynęt i rozwój malware
AI wspiera także produkcję materiałów wykorzystywanych w kampaniach phishingowych. Microsoft zidentyfikował ponad 100 plików PDF przypisanych Onyx Sleet, utworzonych w sierpniu i wrześniu 2026 roku. Dokumenty zawierały szczegóły dopasowane do konkretnych celów, a ich metadane wskazywały, że dziesiątki plików powstawały jednocześnie lub w bardzo krótkich odstępach. Zdaniem Microsoftu jest wysoce prawdopodobne, że były one wynikiem działania platformy AI. Taki proces wspierał kampanie o dużej liczbie przynęt wymierzone w użytkowników z Korei Południowej. Szybkie tworzenie nowych lub zmodyfikowanych dokumentów może utrudniać blokowanie i wykrywanie kolejnych wariantów.
Według analizy narzędzia wspierane przez AI, w tym platformy do programowania takie jak Cursor, pomagają Jade Sleet, Coral Sleet, Pearl Sleet i Sapphire Sleet w rozwijaniu złośliwego oprogramowania. AI może skracać cykl przygotowywania kodu, ułatwiać szybkie zmiany po zablokowaniu wcześniejszych wariantów i wspierać dostosowanie narzędzi do aktualnych potrzeb operacji. Microsoft ocenia, że Sapphire Sleet prawdopodobnie wykorzystał AI podczas kompromitacji oprogramowania Rust w sierpniu 2026 roku. Działania obejmowały etapy od kierowania ataków do deweloperów Rust po przygotowanie i wdrożenie malware. Złośliwe oprogramowanie w tej kampanii było wyraźnie bardziej zaawansowane niż w innych przypisywanych grupie operacjach. Wykorzystywało między innymi dynamiczną kompilację .NET na etapie działań po uzyskaniu dostępu, najpewniej w celu utrudnienia obrony.
Innym przykładem jest Coral Sleet. Od kwietnia 2026 roku grupa miała wdrożyć proces trojanizowania prywatnych repozytoriów GitHub i włączyć go do istniejącego łańcucha malware. Microsoft ocenia, że zakres, skala i szybkość uruchomienia tej zdolności wskazują na bardzo prawdopodobne wykorzystanie platformy programistycznej wspieranej przez AI. Nie chodzi więc wyłącznie o generowanie pojedynczych fragmentów kodu. AI może pomagać w szybkim budowaniu nowych możliwości, łączeniu ich z wcześniejszymi narzędziami oraz reagowaniu na działania obronne.
Automatyzacja nie oznacza pełnej autonomii
Microsoft podkreśla, że obserwowane operacje pozostają kierowane przez ludzi. AI przyspiesza rozpoznanie, przygotowanie dokumentów, komunikację, podsumowywanie informacji zebranych o organizacjach i podejmowanie powtarzalnych decyzji po uzyskaniu dostępu, ale operatorzy nadal określają intencje oraz cele. To rozróżnienie jest istotne, ponieważ opisane przypadki dotyczą przede wszystkim zwiększenia produktywności i skali, a nie zastąpienia całego procesu przez autonomiczny system. Wykorzystanie AI działa tu jako wzmacniacz istniejących metod, takich jak socjotechnika, dostarczanie malware i nadużywanie legalnych narzędzi.
Najbardziej zaawansowane przykłady obejmują także technologie agentowe. Od końca października 2026 roku Microsoft Threat Intelligence identyfikuje wykorzystanie przez Onyx Sleet i Pearl Sleet otwartoźródłowego frameworka ARTEX do agentowych testów penetracyjnych. W materiale nie przedstawiono podstaw do uznania, że użycie tego rozwiązania zmieniło opisane operacje w działania całkowicie samodzielne. Wskazano natomiast, że szybkie przyjmowanie nowych technologii przez północnokoreańskie grupy jest kolejnym sygnałem rosnącej presji na organizacje, które muszą rozpoznawać nie tylko konkretne próbki malware, ale również sposób przygotowywania kampanii.
Najważniejsze sektory i znaczenie dla obrony
Dotychczasowy profil celów pozostaje szeroki. Północnokoreańskie grupy atakują organizacje związane z kryptowalutami i finansami, firmy technologiczne oraz łańcuchy dostaw oprogramowania, instytucje rządowe i podmioty edukacyjne. Diamond Sleet od sierpnia 2026 roku ponownie kieruje uwagę na sektor naftowy i gazowy, po raz pierwszy od 2023 roku, a także rozszerza zainteresowanie organizacjami zajmującymi się komunikacją i polityką internetową. Grupa nadal atakuje również organizacje związane z obronnością. Tworzyła przy tym fikcyjne firmy z sektora technologii komunikacyjnych, wraz ze stronami internetowymi i dopasowanymi personami, aby kontaktować się z przedsiębiorstwami telekomunikacyjnymi pod pozorem legalnych partnerstw biznesowych.
Z perspektywy obrony najważniejszy wniosek dotyczy konieczności łączenia kontroli technicznych z weryfikacją tożsamości i kontekstu kontaktu. Organizacje powinny ostrożnie traktować niespodziewane oferty pracy, prośby o udział w rekrutacji, propozycje partnerstwa oraz dokumenty dopasowane do konkretnej osoby lub zespołu. Warto potwierdzać tożsamość nadawców niezależnym kanałem, zwracać uwagę na nietypowe użycie repozytoriów i narzędzi programistycznych oraz monitorować powtarzalne schematy aktywności, a nie tylko pojedyncze pliki. Wpis Microsoftu zapowiada również wskazówki ograniczania ryzyka i detekcje dla Microsoft Defender. Główny obraz pozostaje jednak jasny: AI nie tworzy nowych motywacji północnokoreańskich grup, lecz pozwala im szybciej i na większą skalę realizować znane cele.
