Hackers norcoreanos usan inteligencia artificial en ataques de phishing contra el Ejército surcoreano

Un giro con inteligencia artificial en el conocido manual de operaciones de Kimsuky

El grupo norcoreano Kimsuky utilizó inteligencia artificial para dar mayor credibilidad a una campaña de phishing con imágenes convincentes de tarjetas de identificación de empleados militares surcoreanos, según un análisis detallado de una empresa de ciberseguridad de Corea del Sur. Los mensajes invitaban a los destinatarios a revisar diseños de muestra de credenciales para personal civil, una solicitud que parecería rutinaria en una burocracia de defensa. Las imágenes adjuntas parecían credenciales auténticas, pero los investigadores afirman que los gráficos se crearon con un modelo de inteligencia artificial generativa y se distribuyeron junto con malware capaz de tomar el control del computador de la víctima.

Los correos electrónicos suplantaban la identidad de una institución relacionada con la defensa encargada de emitir credenciales. Los atacantes intentaron generar confianza entre los destinatarios al adjuntar imágenes PNG que parecían diseños preliminares de tarjetas de identificación. En la misma cadena de envío había archivos que activaban una puerta trasera cuando el destinatario interactuaba con el contenido. Es probable que las imágenes se crearan indicando a un sistema comercial de inteligencia artificial que generara maquetas con fines de prueba, en lugar de credenciales reales, una técnica que puede engañar a los mecanismos de seguridad automatizados.

La dirección del remitente también imitaba un dominio militar de confianza. Los investigadores observaron dominios falsos como .mli.kr, parecido al sufijo oficial de defensa de Corea del Sur, .mil.kr, para engañar a quienes buscan indicios conocidos. Estos pequeños cambios son una táctica habitual de ingeniería social y pueden pasar inadvertidos cuando alguien revisa rápidamente una bandeja de entrada con muchos mensajes.

La campaña, detectada por primera vez a mediados de julio, se produjo después de actividades anteriores en las que el mismo grupo usó un señuelo del tipo ClickFix y distribuyó la misma familia de malware. Al parecer, el grupo reutilizó los conocimientos adquiridos en esas operaciones y ahora los combinó con gráficos generados por inteligencia artificial para hacer más creíble el relato. Entre los objetivos había una organización relacionada con el ámbito militar, así como investigadores, periodistas y activistas centrados en Corea del Norte.

¿Cómo funcionaba la campaña de phishing?

El señuelo era sencillo. Los destinatarios recibían un mensaje en el que se les pedía revisar rápidamente diseños de muestra de tarjetas de identificación. Un archivo ZIP o un enlace de descarga proporcionaba una imagen y uno o más scripts. Al abrirlos, se ejecutaba una cadena de código que conectaba el computador con la infraestructura de los atacantes, descargaba componentes adicionales y establecía el control remoto. La imagen ayudaba a presentar la solicitud como una revisión de diseño inofensiva.

Cómo eludir las protecciones de la inteligencia artificial mediante inyección de instrucciones

La mayoría de las herramientas de inteligencia artificial más utilizadas se niegan a crear documentos de identidad emitidos por gobiernos, ya que copiarlos es ilegal y facilita el fraude. En este caso, al parecer los atacantes presentaron sus instrucciones como solicitudes de muestras de diseño para una maqueta interna. Ese enfoque puede hacer que un modelo interprete la solicitud como algo inofensivo. Es una forma de inyección de instrucciones o de evasión de las restricciones, en la que el usuario guía al modelo para que eluda sus reglas mediante una redacción que reformula la intención.

Los analistas que examinaron una de las imágenes falsas informaron que un detector de falsificaciones digitales la clasificó con una probabilidad del 98 % de haber sido generada por inteligencia artificial. En al menos una muestra, los metadatos de la imagen mencionaban GPT 4o y ChatGPT, lo que sugiere que durante las pruebas o la producción se utilizó un sistema de generación de imágenes de OpenAI. Cuanto más se parecía la imagen a un borrador rutinario de una credencial, más probable era que un empleado con prisa considerara legítima la solicitud.

Distribución de malware y cadena de intrusión

El paquete de distribución variaba. En un caso observado, un archivo ZIP contenía un acceso directo disfrazado de documento normal. Al ejecutarlo, se iniciaba un comando de PowerShell que se conectaba a un servidor remoto, descargaba una puerta trasera y obtenía la imagen PNG señuelo de la tarjeta de identificación. En otro caso, un archivo por lotes llamado LhUdPC3G.bat se ejecutaba junto con la imagen e iniciaba actividades maliciosas, como establecer persistencia y permitir el robo de datos y el control remoto.

Se trataba de correos de phishing selectivo y los operadores cuidaron los detalles. Algunos archivos comprimidos estaban personalizados con el nombre real del destinatario parcialmente oculto para generar confianza e inducirlo a abrir el archivo adjunto. Las imágenes falsas de las credenciales, la familiaridad de la solicitud y la similitud del dominio del remitente se combinaron para hacer que los destinatarios bajaran la guardia.

A quiénes ataca Kimsuky y por qué

Desde hace años, organismos gubernamentales e investigadores privados siguen las actividades de Kimsuky, al que consideran una unidad norcoreana de recopilación de inteligencia. Se estima que el grupo reúne información sobre políticas, asuntos militares y tecnología que responde a las prioridades del Estado. Entre sus objetivos suelen figurar organismos gubernamentales, instituciones relacionadas con la defensa, centros de análisis, investigadores académicos, periodistas y organizaciones de derechos humanos centradas en Corea del Norte.

En junio, investigadores documentaron correos electrónicos con señuelos del tipo ClickFix que inducían a los usuarios a pulsar un botón para resolver un supuesto problema. La campaña de julio reutilizó el mismo malware y muchas de las mismas técnicas, y luego añadió muestras de diseño generadas por inteligencia artificial para reforzar el señuelo. No se trató de un envío masivo, sino de una operación selectiva y meticulosa que buscaba acceder a redes y bandejas de entrada específicas.

La atribución se basó en una combinación de pruebas técnicas y contextuales, entre ellas el uso de código de malware compartido, la reutilización de infraestructura, patrones lingüísticos y la selección de objetivos. Estos indicios coinciden con actividades vinculadas anteriormente a Kimsuky. El método concuerda con una misión de larga duración para infiltrarse en círculos de análisis de políticas, recopilar datos y mantener una presencia dentro de instituciones que siguen de cerca a Corea del Norte.

Suplantar a una unidad que emite tarjetas de identificación aprovecha un proceso administrativo conocido. Los documentos de identidad suelen requerir revisiones en colaboración, a menudo implican intercambios sobre tipografías, fotografías y diseño, y transmiten una imagen de autoridad. Por eso, la solicitud de revisar una muestra parece normal.

El creciente uso indebido de la inteligencia artificial por operadores norcoreanos

La operación de phishing se inscribe en una tendencia más amplia. En agosto, un importante desarrollador de inteligencia artificial informó que había interrumpido las actividades de operadores norcoreanos que usaban su modelo para crear identidades falsas, postularse a empleos remotos en empresas tecnológicas de Estados Unidos e incluso realizar tareas técnicas después de ser contratados. El mismo informe describió cómo se bloquearon las cuentas vinculadas a estas actividades y cómo la empresa actualizó sus sistemas de detección para identificar usos maliciosos.

Informes de seguridad en Corea del Sur y Estados Unidos han advertido que actores norcoreanos utilizan herramientas de inteligencia artificial para redactar correos fluidos, elaborar currículos y cartas de presentación, escribir código y crear perfiles con fotografías profesionales. Estas capacidades permiten que un operador pequeño trabaje con el acabado de un equipo mucho mayor. La barrera de entrada ha disminuido. Una persona con conocimientos técnicos limitados puede recurrir a la inteligencia artificial para obtener orientación, crear módulos de malware con mayor rapidez, traducir contenidos a un coreano o inglés de calidad nativa y generar recursos visuales que superen una revisión rápida.

Analistas de los conflictos digitales en la península han señalado un aumento de los ataques contra instituciones surcoreanas. En 2023, fuentes públicas mencionaron millones de intentos diarios contra sistemas gubernamentales, muchos de ellos atribuidos a actividades norcoreanas. Informes separados de las Naciones Unidas e investigaciones del sector han vinculado a unidades norcoreanas con grandes robos de criptomonedas destinados a financiar programas estratégicos. Los incidentes de phishing selectivo, el fraude laboral asistido por inteligencia artificial y los robos financieros forman parte de una misma estrategia para recopilar inteligencia y generar ingresos pese a las sanciones.

Aunque operadores radicados en China y otros actores vinculados a Estados también experimentan con la inteligencia artificial generativa, aquí el foco está en la rápida adopción de estas herramientas por parte de unidades norcoreanas para el espionaje y las finanzas ilícitas. La frontera entre un conjunto de herramientas de phishing y un estudio de creación de contenidos asistido por inteligencia artificial se ha desdibujado. Lo que antes exigía equipos de diseñadores, traductores y desarrolladores ahora puede prepararse con instrucciones y unas pocas herramientas de código abierto.

Por qué la inteligencia artificial hace más convincente la ingeniería social

La inteligencia artificial generativa destaca por producir contenido elaborado bajo demanda. En un contexto de phishing, esto significa que las imágenes, los textos y el código pueden adaptarse a un público objetivo con poco esfuerzo. Una maqueta convincente de una credencial o un papel con membrete institucional reduce la cautela del lector. Un modelo capaz de escribir en coreano burocrático formal, incluir las siglas adecuadas y mantener un tono respetuoso puede generar mensajes que parecen auténticos.

Los modelos de lenguaje también funcionan como asistentes de redacción incansables. Corrigen la gramática, imitan el estilo de una institución y mantienen un tono coherente en varios correos electrónicos. Los atacantes pueden solicitar versiones del mismo mensaje para distintos cargos. Un modelo puede producir un borrador que parezca un aviso rutinario para una persona responsable de recursos humanos y otro que se lea como un informe técnico para alguien a cargo de tecnologías de la información.

En el ámbito técnico, los asistentes de programación ayudan a los operadores menos experimentados a combinar scripts y cargas maliciosas. Los modelos explican errores, sugieren soluciones y producen ejemplos funcionales. Si se utilizan de forma indebida, aceleran el proceso y reducen la curva de aprendizaje para desarrollar malware. Si a esto se suman la generación de textos y la traducción, un solo operador puede realizar campañas multilingües que hace unos años habrían requerido un equipo.

La creación de identidades es el otro pilar. Los modelos pueden ayudar a inventar trayectorias laborales, preparar currículos con un formato profesional y redactar cartas de presentación adaptadas a ofertas de empleo. Las herramientas de imágenes crean fotos de perfil que superan una revisión rápida. En conjunto, estas capacidades facilitan los fraudes de suplantación en el correo electrónico empresarial y las infiltraciones a largo plazo, al menos hasta que se pongan al día las defensas humanas y técnicas.

Medidas de defensa, detección y políticas

Corea del Sur ha actualizado su Estrategia Nacional de Ciberseguridad, con énfasis en la cooperación internacional, la adopción de tecnología avanzada y el fortalecimiento de las defensas. El plan destaca la detección basada en inteligencia artificial para la supervisión en tiempo real, un mayor intercambio de información con socios y mejoras en la resiliencia de las infraestructuras críticas. Seúl también ha reforzado la coordinación con Estados Unidos y Japón para armonizar políticas y realizar ejercicios conjuntos centrados en la respuesta a incidentes.

Las organizaciones pueden frenar los ataques basados en dominios similares y en imágenes manipuladas con una combinación de procesos, capacitación y tecnología. El primer paso es verificar. Las solicitudes relacionadas con credenciales o documentos de identidad deben seguir un procedimiento documentado, que incluya contactar a una persona autorizada conocida por un canal secundario. El personal debe aprender a revisar los dominios letra por letra y a pasar el cursor sobre los enlaces antes de abrirlos.

Los controles técnicos ayudan a impedir la ejecución. Los sistemas de correo deben poner en cuarentena los mensajes con archivos comprimidos anidados y bloquear tipos de archivos adjuntos peligrosos, como accesos directos, imágenes ISO y scripts. Se debe desactivar o restringir PowerShell cuando sea posible y utilizar listas de aplicaciones autorizadas para impedir la ejecución de programas no aprobados. Las herramientas de detección y respuesta en dispositivos pueden identificar llamadas maliciosas a PowerShell y conexiones salientes inusuales. La supervisión de la red puede alertar sobre nuevas conexiones a dominios no reconocidos poco después de que alguien interactúe con un correo electrónico.

La verificación de candidatos y proveedores es cada vez más importante para la ciberdefensa. Los procesos de contratación remota deben incluir controles sólidos de identidad mediante videollamadas en directo, verificación por terceros de confianza y comprobación independiente de referencias. Los sistemas que gestionan datos sensibles deben aplicar el principio de mínimo privilegio y una verificación continua. Las auditorías rutinarias pueden detectar anomalías, como inicios de sesión desde ubicaciones inusuales o actividad fuera del horario previsto.

Salvaguardias legales y éticas para la inteligencia artificial

El incidente pone de relieve una tensión en la adopción de la inteligencia artificial. Las empresas se benefician cuando sus empleados pueden utilizarla para redactar documentos, escribir código y procesar imágenes. Esa misma accesibilidad puede ser aprovechada indebidamente por adversarios. Los desarrolladores de inteligencia artificial han introducido sistemas de seguridad que rechazan contenido perjudicial y supervisan los usos indebidos, pero los atacantes intentan eludir esas medidas con instrucciones engañosas. La comunidad de defensa ha respondido compartiendo indicadores de abuso, eliminando cuentas infractoras y perfeccionando el comportamiento de los modelos para que resistan la manipulación.

Las decisiones sobre políticas y adquisiciones son importantes. Los organismos y contratistas deben exigir a los proveedores de sistemas de inteligencia artificial registros de auditoría, canales para denunciar abusos y actualizaciones que refuercen los modelos. Unas normas corporativas claras sobre el uso de inteligencia artificial pueden evitar la creación accidental de contenido peligroso. Los equipos de seguridad deben probar los modelos con instrucciones comunes para eludir sus restricciones y ofrecer alternativas seguras y procedimientos previamente aprobados para necesidades empresariales como el diseño de documentos o la revisión de código.

Lo que debe saber

• Kimsuky utilizó imágenes generadas por inteligencia artificial de tarjetas de identificación militares surcoreanas como señuelos en una campaña de phishing selectivo en julio.
• Los correos pedían a los destinatarios que revisaran diseños de muestra de credenciales y procedían de un dominio que imitaba el sufijo oficial .mil.kr mediante .mli.kr.
• Los investigadores encontraron metadatos que mencionaban GPT 4o y ChatGPT en al menos una imagen, y un detector estimó que había una probabilidad del 98 % de que una imagen falsa se hubiera generado con inteligencia artificial.
• La cadena de distribución incluía archivos ZIP y scripts que ejecutaban comandos de PowerShell, instalaban una puerta trasera y descargaban una imagen PNG señuelo.
• Entre los objetivos había una organización relacionada con el ámbito militar, investigadores, periodistas y activistas de derechos humanos centrados en Corea del Norte.
• La campaña reutilizó malware observado en actividades de junio con señuelos del tipo ClickFix, atribuidas al mismo grupo.
• Según un informe reciente de un importante proveedor de inteligencia artificial, operadores norcoreanos también han utilizado estas herramientas para crear identidades falsas y conseguir empleos remotos.
• Las defensas incluyen verificar rigurosamente las solicitudes relacionadas con identidades, aplicar controles de correo y de dispositivos que bloqueen tipos de archivos y scripts peligrosos, y reforzar las comprobaciones en la contratación remota.