Северокорейские хакеры наловчились красть криптовалюту с помощью ИИ-дипфейков

Группировка хакеров, предположительно связанная с властями КНДР, разработала новый комплект инструментов и схем социальной инженерии с использованием искусственного интеллекта для атаки на граждан и связанных с криптовалютной отраслью должностных лиц. Об этом сообщили эксперты Google.

Основу схемы составляет взломанная учётная запись, с которой ведётся отправка потенциальным жертвам ссылок на видеоконференции Zoom. Подключившись к сеансу видеосвязи, жертва видит дипфейк-версию владельца аккаунта. Дипфейк может принимать вид «генерального директора другой криптовалютной компании», приводится пример в докладе Google.

Инициировав сеанс связи, дипфейк сообщает о технических проблемах и указывает жертве, как устранить неполадки на своём компьютере. Выполняя последовательность действий из инструкции, жертва вводит вредоносные команды, в результате которых запускается серия бэкдоров и программ для сбора данных на её устройстве. В Google это охарактеризовали как «социальную инженерию с использованием ИИ» и обозначили семь новых семейств вредоносного ПО, использованных в атаке.

Ответственность за инцидент возложили на группировку UNC1069, которая действует с 2018 года. В прошлом году киберпреступники при помощи ИИ-помощника Gemini «разработали код для кражи криптовалюты, а также для создания мошеннических инструкций, имитирующих обновление ПО для кражи учётных данных пользователей». Эти схемы используются «для атаки как на корпоративные структуры, так и на отдельных лиц в криптовалютной отрасли, включая компании-разработчики ПО и их сотрудников, а также венчурные фирмы, их сотрудников и руководителей».

Для начала каждой последующей атаки необходим доступ к существующей учётной записи, поэтому каждый инцидент имеет «двойную цель: создание условий для кражи криптовалюты и базы — для будущих кампаний [с использованием схем] социальной инженерии посредством использования личных данных и информации о жертве». Одна из связанных с группировкой учётных записей Google была заблокирована — в какой-то момент злоумышленники использовали Gemini «для разработки инструментов, проведения оперативных исследований и оказания помощи на этапах разведки». Ранее стало известно, что группировка BlueNoroff использовала модель OpenAI GPT-4o для улучшения изображений, призванных убедить жертв.