उत्तर कोरियाई हैकरों ने दक्षिण कोरियाई सेना पर फ़िशिंग हमलों में AI का इस्तेमाल किया

किमसुकी के जाने-पहचाने तौर-तरीकों में AI का नया दांव

दक्षिण कोरियाई साइबर सुरक्षा कंपनी के विस्तृत विश्लेषण के अनुसार, उत्तर कोरिया के किमसुकी समूह ने फ़िशिंग अभियान को विश्वसनीय रूप देने के लिए दक्षिण कोरियाई सैन्य कर्मचारियों के पहचान-पत्रों की असली जैसी दिखने वाली तस्वीरों में कृत्रिम बुद्धिमत्ता (AI) का इस्तेमाल किया। इन संदेशों में प्राप्तकर्ताओं से असैन्य कर्मचारियों के लिए पहचान-पत्रों के नमूना डिज़ाइनों की समीक्षा करने को कहा गया था। रक्षा विभाग में ऐसा अनुरोध सामान्य लग सकता है। संलग्न तस्वीरें असली पहचान-पत्रों जैसी दिखती थीं, लेकिन जांचकर्ताओं का कहना है कि ये ग्राफ़िक्स जनरेटिव AI मॉडल से बनाए गए थे और इनके साथ ऐसा मैलवेयर था जो पीड़ित के कंप्यूटर पर नियंत्रण कर सकता था।

ईमेल में पहचान-पत्र जारी करने वाली रक्षा-संबंधित संस्था का रूप धरा गया था। हमलावरों ने पहचान-पत्र के शुरुआती डिज़ाइनों जैसी PNG तस्वीरें जोड़कर प्राप्तकर्ताओं को भरोसा दिलाने की कोशिश की। उसी सामग्री के साथ भेजी गई फ़ाइलों में ऐसा कोड छिपा था जो लक्ष्य के सामग्री से संपर्क करते ही बैकडोर सक्रिय कर देता। संभवतः तस्वीरें असली पहचान-पत्र बनाने के बजाय परीक्षण के लिए नकली डिज़ाइन तैयार करने का निर्देश देकर किसी व्यावसायिक AI सिस्टम से बनवाई गई थीं। यह ऐसी तकनीक है जो स्वचालित सुरक्षा उपायों को चकमा दे सकती है।

भेजने वाले का ईमेल पता भी एक विश्वसनीय सैन्य डोमेन जैसा बनाया गया था। जांचकर्ताओं ने .mli.kr जैसे नकली डोमेन देखे, जो दक्षिण कोरिया के आधिकारिक रक्षा डोमेन .mil.kr से मिलते-जुलते हैं। इनका मकसद परिचित संकेतों पर नज़र डालने वाले प्राप्तकर्ताओं को धोखा देना था। इस तरह के छोटे बदलाव सोशल इंजीनियरिंग की आम तरकीब हैं और व्यस्त इनबॉक्स देखते समय इन्हें पहचानना मुश्किल होता है।

पहली बार जुलाई के मध्य में पता चला यह अभियान, उसी समूह की पहले की गतिविधियों के बाद सामने आया, जिनमें उसने ClickFix शैली के झांसे का इस्तेमाल कर मैलवेयर के उसी परिवार को फैलाया था। उन अभियानों से मिली जानकारी का दोबारा इस्तेमाल किया गया और अब कहानी को अधिक विश्वसनीय बनाने के लिए AI से बने ग्राफ़िक्स जोड़े गए। लक्ष्यों में एक सैन्य-संबंधित संगठन के साथ-साथ उत्तर कोरिया पर ध्यान देने वाले शोधकर्ता, पत्रकार और कार्यकर्ता शामिल थे।

फ़िशिंग योजना कैसे काम करती थी

झांसा सीधा था। प्राप्तकर्ताओं को एक संदेश मिलता था, जिसमें पहचान-पत्रों के नमूना डिज़ाइनों की तुरंत समीक्षा करने को कहा जाता था। ZIP आर्काइव या डाउनलोड लिंक के ज़रिये एक तस्वीर और एक या अधिक स्क्रिप्ट भेजी जाती थीं। फ़ाइल खुलने पर क्रमवार चलने वाला कोड कंप्यूटर को हमलावरों के सर्वर से जोड़ता, अतिरिक्त घटक डाउनलोड करता और दूर से नियंत्रण का रास्ता बनाता। पहचान-पत्र की तस्वीर से यह अनुरोध एक मामूली डिज़ाइन समीक्षा जैसा लगता था।

प्रॉम्प्ट इंजेक्शन से AI सुरक्षा उपायों को चकमा देना

अधिकांश मुख्यधारा के AI टूल सरकारी पहचान-पत्र बनाने से इनकार करते हैं, क्योंकि ऐसे दस्तावेज़ों की नकल करना गैरकानूनी है और धोखाधड़ी को बढ़ावा देता है। इस मामले में हमलावरों ने अपने प्रॉम्प्ट को आंतरिक नकली डिज़ाइन के लिए नमूने तैयार करने के अनुरोध के रूप में पेश किया। इससे मॉडल अनुरोध को हानिरहित समझ सकता है। यह प्रॉम्प्ट इंजेक्शन या जेलब्रेकिंग का एक तरीका है, जिसमें उपयोगकर्ता भाषा को इस तरह गढ़कर मॉडल को उसके नियमों से बाहर ले जाता है कि अनुरोध का मकसद कुछ और लगे।

नकली तस्वीरों में से एक की जांच करने वाले विश्लेषकों ने बताया कि डीपफेक डिटेक्टर ने उसे AI से बनाया गया होने की 98 प्रतिशत संभावना बताई। कम-से-कम एक नमूने के इमेज मेटाडेटा में GPT 4o और ChatGPT का उल्लेख था, जिससे संकेत मिलता है कि परीक्षण या निर्माण के दौरान OpenAI की इमेज जनरेशन प्रक्रिया इस्तेमाल की गई थी। तस्वीर जितनी अधिक पहचान-पत्र के सामान्य शुरुआती डिज़ाइन जैसी दिखती, उतनी ही अधिक संभावना थी कि जल्दबाज़ी में काम कर रहा कर्मचारी अनुरोध को असली मान ले।

मैलवेयर भेजने और घुसपैठ की प्रक्रिया

फ़ाइलें भेजने का तरीका अलग-अलग था। एक मामले में ZIP फ़ाइल के भीतर ऐसा शॉर्टकट था जो सामान्य दस्तावेज़ जैसा दिखता था। उसे खोलने पर PowerShell कमांड चला, जिसने दूरस्थ सर्वर से संपर्क किया, बैकडोर हासिल किया और पहचान-पत्र की नकली PNG तस्वीर डाउनलोड की। दूसरे मामले में LhUdPC3G.bat नाम की बैच फ़ाइल तस्वीर के साथ चली और उसने सिस्टम में अपनी मौजूदगी बनाए रखने, डेटा चुराने और दूर से नियंत्रण पाने समेत दुर्भावनापूर्ण गतिविधियां शुरू कीं।

ये लक्षित फ़िशिंग ईमेल थे और इन्हें तैयार करने वालों ने बारीकियों पर ध्यान दिया था। कुछ आर्काइव में प्राप्तकर्ता का असली नाम आंशिक रूप से छिपाकर शामिल किया गया था, ताकि भरोसा बढ़े और लक्ष्य संलग्न फ़ाइल खोलने के लिए प्रेरित हो। नकली पहचान-पत्र की तस्वीर, परिचित किस्म का अनुरोध और भेजने वाले के डोमेन की लगभग हूबहू नकल ने मिलकर प्राप्तकर्ताओं का संदेह कम किया।

किमसुकी किन्हें निशाना बनाता है और क्यों

सरकारी एजेंसियां और निजी शोधकर्ता कई वर्षों से किमसुकी को उत्तर कोरिया की खुफिया जानकारी जुटाने वाली इकाई के रूप में ट्रैक कर रहे हैं। माना जाता है कि यह समूह राज्य की प्राथमिकताओं से जुड़ी नीतिगत, सैन्य और तकनीकी जानकारी जुटाता है। इसके लक्ष्यों में अक्सर सरकारी एजेंसियां, रक्षा-संबंधित संस्थान, थिंक टैंक, अकादमिक शोधकर्ता, पत्रकार और उत्तर कोरिया पर ध्यान देने वाले मानवाधिकार संगठन शामिल होते हैं।

जून में शोधकर्ताओं ने ClickFix शैली के ईमेल दर्ज किए थे, जिनमें उपयोगकर्ताओं को कथित समस्या सुलझाने के लिए एक बटन दबाने को कहा गया था। जुलाई के अभियान में वही मैलवेयर और कई पुरानी तकनीकें इस्तेमाल की गईं, फिर झांसे को मजबूत करने के लिए AI से बने डिज़ाइन नमूने जोड़े गए। यह बड़े पैमाने पर भेजा गया अभियान नहीं था। यह विशिष्ट नेटवर्क और इनबॉक्स तक पहुंच पाने की सावधानी से तैयार की गई लक्षित कार्रवाई थी।

इसकी जिम्मेदारी तय करने का आधार साझा मैलवेयर कोड, बुनियादी ढांचे का दोबारा इस्तेमाल, भाषा के तौर-तरीके और चुने गए लक्ष्य जैसे तकनीकी व संदर्भगत साक्ष्य थे। ये संकेत पहले किमसुकी से जोड़ी गई गतिविधियों से मेल खाते हैं। यह तरीका नीतिगत हलकों में घुसपैठ करने, डेटा जुटाने और उत्तर कोरिया पर करीबी नज़र रखने वाले संस्थानों में अपनी पहुंच बनाए रखने के लंबे समय से चले आ रहे अभियान के अनुरूप है।

पहचान-पत्र जारी करने वाली इकाई का रूप धारण करना एक जानी-पहचानी व्यावसायिक प्रक्रिया का फायदा उठाता है। पहचान दस्तावेज़ों की समीक्षा में अक्सर कई लोगों को साथ काम करना पड़ता है, फ़ॉन्ट, तस्वीरों और लेआउट पर बार-बार चर्चा होती है और उनमें अधिकार का एक आभास भी जुड़ा रहता है। इसलिए नमूने की जांच करने का अनुरोध सामान्य लगता है।

उत्तर कोरियाई ऑपरेटरों द्वारा AI के बढ़ते दुरुपयोग का रुझान

यह फ़िशिंग अभियान एक व्यापक रुझान का हिस्सा है। अगस्त में एक प्रमुख AI डेवलपर ने बताया कि उसने उत्तर कोरियाई ऑपरेटरों की गतिविधि बाधित की थी। वे उसके मॉडल का इस्तेमाल नकली पहचान बनाने, अमेरिका की टेक कंपनियों में दूरस्थ नौकरियों के लिए आवेदन करने और नौकरी मिलने के बाद तकनीकी काम पूरा करने में कर रहे थे। उसी रिपोर्ट में बताया गया कि इस गतिविधि से जुड़े खाते बंद किए गए और कंपनी ने दुर्भावनापूर्ण इस्तेमाल पकड़ने के लिए अपने सिस्टम अपडेट किए।

दक्षिण कोरिया और अमेरिका की सुरक्षा संबंधी ब्रीफिंग में चेतावनी दी गई है कि उत्तर कोरियाई तत्व धाराप्रवाह ईमेल लिखने, रिज़्यूमे और कवर लेटर बनाने, कोड का मसौदा तैयार करने और पेशेवर प्रोफ़ाइल तस्वीरों वाले व्यक्तित्व गढ़ने के लिए AI टूल इस्तेमाल करते हैं। इन क्षमताओं से एक छोटा ऑपरेटर भी बहुत बड़ी टीम जैसी दक्षता के साथ काम कर सकता है। अब ऐसे काम शुरू करना आसान हो गया है। सीमित तकनीकी कौशल वाला व्यक्ति भी AI से मार्गदर्शन लेकर, मैलवेयर के मॉड्यूल तेज़ी से तैयार करके, सामग्री का उच्च गुणवत्ता वाली कोरियाई या अंग्रेज़ी में अनुवाद करके और ऐसी तस्वीरें बनाकर मदद ले सकता है जो सरसरी नज़र में असली लगें।

कोरियाई प्रायद्वीप में डिजिटल संघर्ष का विश्लेषण करने वाले विशेषज्ञों ने दक्षिण कोरियाई संस्थानों पर हमलों में तेज़ी दर्ज की है। 2023 के सार्वजनिक स्रोतों में सरकारी प्रणालियों पर रोज़ाना लाखों हमलों की बात कही गई थी, जिनमें से कई का संबंध उत्तर कोरियाई गतिविधियों से जोड़ा गया। संयुक्त राष्ट्र की अलग रिपोर्टों और उद्योग जगत के शोध ने उत्तर कोरियाई इकाइयों को रणनीतिक कार्यक्रमों के वित्तपोषण के लिए की गई बड़ी क्रिप्टोकरेंसी चोरियों से जोड़ा है। लक्षित फ़िशिंग, AI की मदद से नौकरी पाने का धोखा और वित्तीय चोरी, प्रतिबंधों के बावजूद खुफिया जानकारी जुटाने और राजस्व पैदा करने की एक ही रणनीति के हिस्से हैं।

चीन-आधारित ऑपरेटर और राज्य से जुड़े अन्य समूह भी जनरेटिव AI के प्रयोग कर रहे हैं, लेकिन यहां ध्यान जासूसी और अवैध वित्तीय गतिविधियों, दोनों के लिए उत्तर कोरियाई इकाइयों द्वारा इसे तेजी से अपनाने पर है। फ़िशिंग टूलकिट और AI-सहायता प्राप्त कंटेंट स्टूडियो के बीच का अंतर धुंधला हो गया है। पहले जिन कामों के लिए डिज़ाइनरों, अनुवादकों और डेवलपरों की टीम चाहिए होती थी, अब वे प्रॉम्प्ट और कुछ ओपन सोर्स टूल से किए जा सकते हैं।

AI सोशल इंजीनियरिंग को अधिक विश्वसनीय क्यों बनाता है

जनरेटिव AI मांग पर सुघड़ सामग्री तैयार करने में माहिर है। फ़िशिंग में इसका मतलब है कि तस्वीरें, पाठ और कोड कम मेहनत में किसी खास लक्षित समूह के मुताबिक बनाए जा सकते हैं। पहचान-पत्र का विश्वसनीय नकली डिज़ाइन या किसी संस्था के नाम वाला पत्र-शीर्षक पाठक की सतर्कता कम कर देता है। औपचारिक प्रशासनिक कोरियाई में लिखने, सही संक्षिप्त नाम शामिल करने और सम्मानजनक लहजा बनाए रखने वाला मॉडल ऐसे संदेश बना सकता है जो असली लगें और सुनाई दें।

भाषा मॉडल अथक लेखन सहायक की तरह भी काम करते हैं। वे व्याकरण सुधारते हैं, किसी संस्था की शैली अपनाते हैं और कई ईमेल में लहजा एकसमान रखते हैं। हमलावर अलग-अलग भूमिकाओं के लिए एक ही संदेश के कई रूप मांग सकते हैं। मॉडल एक ऐसा मसौदा तैयार कर सकता है जो मानव संसाधन प्रबंधक के लिए सामान्य सूचना लगे, और दूसरा जो IT प्रमुख के लिए तकनीकी ज्ञापन जैसा पढ़े।

तकनीकी पक्ष में, कोड सहायक कम अनुभवी ऑपरेटरों को स्क्रिप्ट और पेलोड जोड़ने में मदद करते हैं। मॉडल त्रुटियां समझाते हैं, समाधान सुझाते हैं और चलने वाले उदाहरण तैयार करते हैं। गलत इस्तेमाल होने पर इससे मैलवेयर विकास तेज़ होता है और सीखने में लगने वाला समय घटता है। इसे पाठ तैयार करने और अनुवाद की क्षमता के साथ जोड़ें, तो एक ऑपरेटर बहुभाषी अभियान चला सकता है, जिसके लिए पहले पूरी टीम की जरूरत पड़ती।

पहचान गढ़ना इस रणनीति का दूसरा अहम हिस्सा है। मॉडल काम का अनुभव बनाने, तय प्रारूप में रिज़्यूमे तैयार करने और नौकरी के विज्ञापनों के अनुरूप कवर लेटर लिखने में मदद कर सकते हैं। इमेज टूल ऐसी प्रोफ़ाइल तस्वीरें बनाते हैं जो सरसरी जांच में असली लगें। इन क्षमताओं को मिलाकर व्यावसायिक ईमेल से धोखाधड़ी और लंबे समय तक घुसपैठ करना आसान हो जाता है, कम-से-कम तब तक, जब तक मानवीय और तकनीकी सुरक्षा उपाय इसके अनुरूप न हो जाएं।

बचाव, पहचान और नीतिगत कदम

दक्षिण कोरिया ने अंतरराष्ट्रीय सहयोग, उन्नत तकनीक अपनाने और मजबूत सुरक्षा पर ज़ोर देते हुए अपनी राष्ट्रीय साइबर सुरक्षा रणनीति अपडेट की है। योजना में रियल टाइम निगरानी के लिए AI आधारित पहचान, साझेदारों के साथ बेहतर सूचना साझा करने और महत्वपूर्ण बुनियादी ढांचे की मजबूती बढ़ाने पर बल दिया गया है। सियोल ने नीतियों में तालमेल और घटना से निपटने पर केंद्रित संयुक्त अभ्यासों के लिए अमेरिका और जापान के साथ समन्वय भी बढ़ाया है।

समान दिखने वाले डोमेन और डीपफेक तस्वीरों पर आधारित हमलों को संगठन प्रक्रियाओं, प्रशिक्षण और तकनीक के मेल से कम कर सकते हैं। इसकी शुरुआत सत्यापन से होती है। पहचान-पत्रों या पहचान दस्तावेज़ों से जुड़े अनुरोधों के लिए लिखित प्रक्रिया होनी चाहिए, जिसमें किसी ज्ञात अधिकारी से दूसरे माध्यम से संपर्क करना शामिल हो। कर्मचारियों को डोमेन के अक्षरों को एक-एक करके जांचना और लिंक पर क्लिक करने से पहले उस पर माउस ले जाकर पता देखना सिखाया जाना चाहिए।

तकनीकी नियंत्रण दुर्भावनापूर्ण फ़ाइलों को चलने से रोकने में मदद करते हैं। ईमेल गेटवे को अंदर अन्य आर्काइव वाली फ़ाइलों के संदेशों को क्वारंटीन करना चाहिए और शॉर्टकट फ़ाइलों, ISO इमेज तथा स्क्रिप्ट जैसे जोखिम भरे अटैचमेंट ब्लॉक करने चाहिए। जहां संभव हो PowerShell बंद या सीमित करें और अनधिकृत एक्ज़ीक्यूटेबल फ़ाइलों को रोकने के लिए एप्लिकेशन की अनुमति-सूचियों का इस्तेमाल करें। एंडपॉइंट डिटेक्शन एंड रिस्पॉन्स सिस्टम दुर्भावनापूर्ण PowerShell कमांड और असामान्य आउटबाउंड कनेक्शन पकड़ सकता है। नेटवर्क निगरानी ईमेल से संपर्क के तुरंत बाद अपरिचित डोमेन से बने नए कनेक्शनों पर चेतावनी दे सकती है।

भर्ती और विक्रेताओं की जांच साइबर सुरक्षा का बढ़ता हुआ हिस्सा हैं। दूरस्थ भर्ती प्रक्रिया में लाइव वीडियो के साथ मजबूत पहचान जांच, भरोसेमंद तीसरे पक्ष से सत्यापन और स्वतंत्र संदर्भ जांच शामिल होनी चाहिए। संवेदनशील डेटा संभालने वाली प्रणालियों में न्यूनतम जरूरी पहुंच और लगातार सत्यापन लागू होना चाहिए। नियमित ऑडिट असामान्य लॉगिन स्थानों और तय कामकाजी समय से बाहर की गतिविधियों जैसी गड़बड़ियां पकड़ सकते हैं।

AI के लिए कानूनी और नैतिक सुरक्षा उपाय

यह घटना AI अपनाने के साथ पैदा होने वाले तनाव को उजागर करती है। कर्मचारियों को दस्तावेज़ों के मसौदे बनाने, कोड लिखने और तस्वीरें संसाधित करने के लिए AI इस्तेमाल करने से कारोबारों को फायदा होता है। लेकिन इसी आसान पहुंच का विरोधी दुरुपयोग भी कर सकते हैं। AI डेवलपरों ने ऐसे सुरक्षा सिस्टम बनाए हैं जो हानिकारक सामग्री से इनकार करते हैं और दुरुपयोग पर नज़र रखते हैं, लेकिन हमलावर पेचीदा प्रॉम्प्ट देकर इन उपायों को चकमा देने की कोशिश करते हैं। सुरक्षा समुदाय ने दुरुपयोग के संकेत साझा करके, नियम तोड़ने वाले खाते हटाकर और हेरफेर का विरोध करने के लिए मॉडल के व्यवहार में सुधार करके जवाब दिया है।

नीतिगत और खरीद संबंधी फैसले भी अहम हैं। एजेंसियों और ठेकेदारों को AI सिस्टम के आपूर्तिकर्ताओं से ऑडिट लॉग, दुरुपयोग की रिपोर्ट करने के माध्यम और मॉडल को मजबूत करने वाले अपडेट मांगने चाहिए। AI के इस्तेमाल के स्पष्ट कॉर्पोरेट नियम जोखिम भरी सामग्री के अनजाने निर्माण को रोक सकते हैं। सुरक्षा टीमों को आम जेलब्रेक प्रॉम्प्ट के विरुद्ध मॉडलों का परीक्षण करना चाहिए और दस्तावेज़ डिज़ाइन या कोड समीक्षा जैसी व्यावसायिक जरूरतों के लिए सुरक्षित विकल्प और पहले से मंजूर कार्यप्रवाह उपलब्ध कराने चाहिए।

जानने योग्य बातें

• किमसुकी ने जुलाई के लक्षित फ़िशिंग अभियान में दक्षिण कोरियाई सैन्य पहचान-पत्रों की AI से बनी तस्वीरों को झांसे के तौर पर इस्तेमाल किया।
• ईमेल में प्राप्तकर्ताओं से पहचान-पत्र के नमूना डिज़ाइनों की समीक्षा करने को कहा गया और उनका डोमेन आधिकारिक .mil.kr से मिलता-जुलता .mli.kr था।
• जांचकर्ताओं को कम-से-कम एक तस्वीर के मेटाडेटा में GPT 4o और ChatGPT का उल्लेख मिला। एक डिटेक्टर ने नकली तस्वीर के AI से बने होने की संभावना 98 प्रतिशत बताई।
• फ़ाइलें भेजने की प्रक्रिया में ZIP आर्काइव और ऐसी स्क्रिप्ट शामिल थीं, जिन्होंने PowerShell कमांड चलाए, बैकडोर इंस्टॉल किया और पहचान-पत्र की नकली PNG तस्वीर डाउनलोड की।
• लक्ष्यों में एक सैन्य-संबंधित संगठन, शोधकर्ता, पत्रकार और उत्तर कोरिया पर ध्यान देने वाले मानवाधिकार कार्यकर्ता शामिल थे।
• इस अभियान में जून की ClickFix शैली की गतिविधि में दिखा मैलवेयर दोबारा इस्तेमाल किया गया, जिसका श्रेय इसी समूह को दिया गया था।
• एक प्रमुख AI प्रदाता की हालिया रिपोर्ट के अनुसार, उत्तर कोरियाई ऑपरेटरों ने नकली पहचान बनाने और दूरस्थ नौकरियां हासिल करने के लिए भी AI टूल इस्तेमाल किए हैं।
• बचाव के उपायों में पहचान से जुड़े अनुरोधों का सख्त सत्यापन, जोखिम भरी फ़ाइलों और स्क्रिप्ट को रोकने वाले ईमेल व एंडपॉइंट नियंत्रण और दूरस्थ भर्ती के लिए मजबूत जांच शामिल हैं।