Microsoft: Noord-Koreaanse hackers zetten AI overal in

Noord-Koreaanse hackersgroepen gebruiken AI inmiddels in vrijwel elke fase van hun aanvallen. Dat schrijft Microsoft Threat Intelligence in een analyse op het eigen securityblog van 29 oktober. De algemene AI-adoptie onder deze groepen noemt Microsoft “hoog”. Tegelijk stelt het bedrijf dat mensen de operaties nog steeds aansturen: van volledig autonome aanvallen is geen sprake.

Drie groepen hebben AI volledig ingebouwd

Microsoft deelt de groepen in op een schaal van vier fases. Jade Sleet, Coral Sleet en Jasper Sleet zitten in de hoogste fase, “operationalized”. Bij hen zit AI in alle werkprocessen. Diamond Sleet, Onyx Sleet, Pearl Sleet en Sapphire Sleet versnellen hun gebruik. Emerald Sleet loopt achter.

De voorbeelden zijn concreet. Jade Sleet gebruikte tussen 8 en 12 juni drie nepbedrijven in één week, waarbij de aanvallers zich voordeden als recruiters van een verzonnen blockchainbedrijf met AI-producten. Onyx Sleet maakte in augustus en september ruim honderd PDF-lokbestanden voor Zuid-Koreaanse doelwitten. Volgens de metadata ontstonden tientallen daarvan binnen een paar minuten, wat volgens Microsoft vrijwel zeker op AI-output wijst.

Nep-IT’ers en code uit Cursor

Jasper Sleet is de groep achter de bekende fraude met Noord-Koreaanse IT’ers die op afstand bij westerse bedrijven aan de slag gaan. Die groep zet generatieve en agentische AI in om cv’s en complete digitale persona’s te bouwen. Daarna helpt AI om de communicatie van meerdere nepwerknemers consistent te houden. Al in maart beschreef Microsoft hoe deze groep met de app Faceswap gezichten op gestolen identiteitsbewijzen plakte, meldde CyberScoop destijds.

Ook bij het programmeren leunen de hackers op AI. Jade Sleet, Coral Sleet, Pearl Sleet en Sapphire Sleet gebruikten waarschijnlijk AI-ontwikkelplatforms zoals Cursor om code te schrijven, te debuggen en om te zetten naar andere talen. Coral Sleet draait sinds april een werkwijze waarmee het trojans in private GitHub-repositories plant. Microsoft acht het “zeer waarschijnlijk” dat die met zo’n platform is gebouwd.

ARTEX duikt opnieuw op

Opvallend is dat Onyx Sleet en Pearl Sleet sinds eind oktober ARTEX gebruiken, een open-source framework voor pentesten met AI-agents. Dat is hetzelfde gereedschap waarmee een Chinese groep eerder 2.250 tenants wist te bereiken. Een tool die voor verdedigers is gemaakt, verspreidt zich zo binnen enkele weken over meerdere staatshackers. Dat past bij het beeld uit het Digital Defense Report van Microsoft, waarin het bedrijf al stelde dat aanvallers voorlopen met AI.

De doelen veranderen volgens Microsoft niet. Noord-Korea zoekt vooral geld, onder meer bij cryptobedrijven, en strategische informatie. AI maakt dat werk sneller en goedkoper.

Wat betekent dit

Voor bedrijven ligt het grootste risico waarschijnlijk bij het aannemen van personeel. Microsoft adviseert om externe krachten via uitzendbureaus extra te controleren, te letten op dubbele accounts en telefoonnummers, referenties echt na te bellen en camera’s verplicht aan te laten staan tijdens gesprekken. Haperend beeld of geluid noemt het bedrijf een rode vlag. Verder raadt Microsoft aan om device code flow te blokkeren waar dat kan en phishingfilters strakker af te stellen.

Dat het om meer gaat dan theorie, liet de inbraak bij Chainalysis met AI-agents vorige week nog zien. Ook aanvallen via de toeleveringsketen, zoals de Cathedral-hack bij Anthropic, laten zien dat besmette code van derden een reële route is. Wie AI-codeertools gebruikt, doet er goed aan om externe repositories en pakketten net zo kritisch te bekijken als een onbekende sollicitant.