Stessi obiettivi, nuovi playbook: gli attori di minacce dell'Asia orientale utilizzano metodi esclusivi

Illustrazione astratta di una nave militare con cerchi rossi e una rete nera su uno sfondo rosa.

Da giugno 2023 Microsoft ha osservato diverse tendenze rilevanti in termini di minacce informatiche e di influenza in Cina e Corea del Nord che dimostrano non solo un'insistenza sugli obiettivi comuni, ma anche il tentativo di usare tecniche di influenza più sofisticate per raggiungere i propri scopi.

Negli ultimi sette mesi gli attori di minacce informatiche cinesi hanno selezionato tre aree target in generale:

Una serie di attori cinesi ha colpito su larga scala gli enti target nelle isole del Pacifico meridionale.
Una seconda serie di attività cinesi ha continuato una sequenza di cyberattacchi contro avversari regionali nell'area del Mar Cinese Meridionale.
Nel frattempo, un terzo gruppo di attori cinesi ha compromesso la base industriale della difesa statunitense.

Anziché ampliare la portata geografica dei loro obiettivi, gli attori di influenza cinesi hanno perfezionato le proprie tecniche e sperimentato con i nuovi media. Le campagne di influenza cinesi hanno continuato ad affinare i contenuti generati o ottimizzati dall'IA. Gli attori di influenza responsabili di queste campagne hanno mostrato di voler amplificare i contenuti multimediali generati dall'IA a vantaggio delle loro narrazioni strategiche, nonché creare i propri video, meme e contenuti audio. Tali tattiche sono state utilizzate in campagne che alimentavano le divergenze all'interno degli Stati Uniti ed esacerbavano le spaccature nell'area dell'Asia Pacifico, che include Taiwan, Giappone e Corea del Sud. Queste campagne hanno raggiunto diversi livelli di risonanza senza una formula singola che comportasse un coinvolgimento coerente del pubblico.

Gli attori di minacce informatiche nordcoreani hanno fatto notizia per aver aumentato gli attacchi alla catena di approvvigionamento di software e i furti di criptovalute nell'ultimo anno. Mentre le campagne strategiche di spear phishing a scapito dei ricercatori che studiano la penisola coreana sono rimaste una tendenza costante, gli attori di minacce nordcoreani hanno presumibilmente fatto un uso maggiore di software legittimo per compromettere un numero ancora superiore di vittime.

Gingham Typhoon colpisce il governo, il settore IT e gli enti multinazionali nelle isole del Pacifico meridionale

Durante l'estate del 2023 Microsoft Threat Intelligence ha osservato un'ampia attività del gruppo di spionaggio con sede in Cina Gingham Typhoon, che ha colpito quasi tutti i paesi delle isole del Pacifico meridionale. Gingham Typhoon è l'attore più attivo in questa area geografica e colpisce organizzazioni internazionali, enti governativi e il settore IT con complesse campagne di phishing. Tra le vittime figuravano anche detrattori del governo cinese.

Tra gli alleati diplomatici della Cina colpiti dalla recente attività di Gingham Typhoon si annoverano uffici esecutivi del governo, dipartimenti legati al commercio, fornitori di servizi Internet e un ente legato ai trasporti.

È possibile che la motivazione dietro queste attività informatiche offensive sia l'aumento della competizione geopolitica e diplomatica nella zona. La Cina persegue collaborazioni strategiche con le nazioni insulari del Pacifico meridionale per espandere i legami economici e stipulare accordi diplomatici e di sicurezza. Lo spionaggio informatico cinese in quest'area segue anche i partner economici.

Ad esempio, gli attori cinesi sono impegnati a colpire su larga scala le organizzazioni multinazionali in Papua Nuova Guinea, un partner diplomatico di lunga data che sta beneficiando di molteplici progetti della Belt and Road Initiative (BRI), tra cui la costruzione di un'importante autostrada che collega un edificio del governo della Papua Nuova Guinea alla strada principale della capitale.¹

Mappa che illustra la frequenza di minacce informatiche mirate nell’area delle isole dell’Oceano Pacifico con cerchi di dimensioni più o meno ampie

Figura 1: Eventi osservati da Gingham Typhoon da giugno 2023 a gennaio 2024. Questa immagine evidenzia il focus continuo del gruppo sull’area delle isole dell’Oceano Pacifico meridionale. Tuttavia, questo modo di operare si è dimostrato continuo, evidenziando un focus di durata annuale sull’area. Le posizioni geografiche e i diametri della simbologia sono rappresentativi.

Gli attori di minacce cinesi continuano a focalizzarsi sul Mar Cinese Meridionale nel corso delle esercitazioni militari occidentali

Gli attori di minacce con sede in Cina hanno continuato a colpire enti legati agli interessi economici e militari della Cina nel Mar Cinese Meridionale e nelle zone limitrofe. Questi attori hanno opportunisticamente compromesso le vittime del governo e delle telecomunicazioni nell'Associazione delle nazioni del sud-est asiatico (Association of Southeast Asian Nations, ASEAN). Gli attori di minacce informatiche affiliati allo stato cinese sono apparsi particolarmente interessati agli obiettivi legati alle numerose esercitazioni militari statunitensi condotte nell'area. Nel giugno 2023 Raspberry Typhoon, un gruppo di attività stato-nazione con sede in Cina, ha colpito con successo organi militari ed esecutivi in Indonesia e un sistema marittimo malese nelle settimane precedenti a una rara esercitazione navale multilaterale che ha coinvolto Indonesia, Cina e Stati Uniti.

Analogamente, Flax Typhoon, un altro attore di minacce informatiche cinese, ha colpito enti legati alle esercitazioni militari Stati Uniti-Filippine. Contemporaneamente, Granite Typhoon, un altro attore di minacce con base in Cina, durante questo periodo ha compromesso soprattutto enti di telecomunicazioni nella zona, causando danni in Indonesia, Malesia, Filippine, Cambogia e Taiwan.

Dalla pubblicazione del blog di Microsoft su Flax Typhoonall'inizio dell'autunno e dell'inverno del 2023, Microsoft ha rilevato nuovi obiettivi di questo attore di minacce nelle Filippine, a Hong Kong, in India e negli Stati Uniti.² Flax Typhoon attacca anche il settore delle telecomunicazioni, spesso con numerose ripercussioni.

Mappa che mostra dati di Microsoft Threat Intelligence sulle aree più prese di mira in Asia.

Figura 2: Eventi osservati che prendono di mira paesi/aree geografiche all’interno o nelle vicinanze dell’area del Mare Cinese Meridionale da parte dei gruppi Flax Typhoon, Granite Typhoon e Raspberry Typhoon. Le posizioni geografiche e i diametri della simbologia sono rappresentativi.

Nylon Typhoon compromette gli enti legati agli affari esteri in tutto il mondo

L'attore di minacce con sede in Cina Nylon Typhoon ha continuato la sua lunga pratica di attacchi contro enti legati agli affari esteri in paesi di tutto il mondo. Tra giugno e dicembre 2023 Microsoft ha notato che Nylon Typhoon ha colpito enti pubblici del Sud America, tra cui Brasile, Guatemala, Costa Rica e Perù. L'attore di minacce è stato osservato anche in Europa, dove ha compromesso enti pubblici in Portogallo, Francia, Spagna, Italia e Regno Unito. Sebbene la maggior parte degli obiettivi europei fossero enti pubblici, sono state compromesse anche alcune società IT. Lo scopo di questi obiettivi è la raccolta di informazioni.

Il gruppo di attori di minacce cinese colpisce organi militari e infrastrutture critiche negli Stati Uniti

Infine, durante l'autunno e l'inverno del 2023 Storm-0062 ha aumentato la sua attività. Gran parte della sua attività ha compromesso gli enti pubblici statunitensi legati alla difesa, compresi gli appaltatori che forniscono servizi di ingegneria tecnica nel settore aerospaziale, della difesa e delle risorse naturali fondamentali per la sicurezza nazionale degli Stati Uniti. Storm-0062 ha inoltre colpito ripetutamente organi militari negli Stati Uniti, sebbene non sia chiaro se i tentativi di compromissione del gruppo abbiano avuto successo.

Anche la base industriale della difesa statunitense rimane un obiettivo costante di Volt Typhoon. Nel maggio 2023 Microsoft ha attribuito a Volt Typhoon, un attore sponsorizzato dallo stato con sede in Cina, gli attacchi alle organizzazioni di importanti infrastrutture statunitensi. Volt Typhoon ha ottenuto l'accesso alle reti delle organizzazioni con tecniche living-off-the-land e attività hands-on-keyboard.³ Queste tattiche gli hanno consentito di mantenere di nascosto l'accesso non autorizzato alle reti target. Dal giugno al dicembre 2023, Volt Typhoon ha continuato a colpire importanti infrastrutture, perseguendo anche lo sviluppo delle risorse e compromettendo i dispositivi SOHO (Small Office Home Office) negli Stati Uniti.

Nel nostro report di settembre 2023 abbiamo approfondito come le risorse delle operazioni di influenza cinesi abbiano iniziato a utilizzare l'IA generativa per creare contenuti visivi originali e coinvolgenti. Per tutta l'estate Microsoft Threat Intelligence ha continuato a individuare meme generati dall'IA che prendevano di mira gli Stati Uniti e che amplificavano questioni interne controverse criticando l'attuale amministrazione. Gli attori di operazioni di influenza legati alla Cina hanno continuato per tutto l'anno a usare contenuti multimediali ottimizzati e generati dall'IA (di seguito indicati come "contenuti di IA") in campagne di influenza di crescente volume e influenza.

L'IA decolla, senza però convincere davvero

Il più prolifico di questi attori che utilizzano contenuti di IA è Storm-1376, nome che Microsoft ha assegnato all'attore legato al Partito comunista cinese (PCC), comunemente noto come "Spamouflage" o "Dragonbridge". In inverno, altri attori legati al PCC hanno iniziato a usare una gamma più ampia di contenuti di IA per aumentare le operazioni di influenza online. Questo ha comportato un notevole aumento dei contenuti con personaggi politici taiwanesi in vista delle elezioni presidenziali e legislative del 13 gennaio. Per la prima volta Microsoft Threat Intelligence ha assistito all'utilizzo di contenuti di IA da parte di un attore di stato-nazione in un tentativo di influenzare delle elezioni straniere.

Audio generato dall'IA: il giorno delle elezioni di Taiwan, Storm-1376 ha pubblicato clip audio presumibilmente generati dall'IA riguardanti il proprietario di Foxconn Terry Gou, candidato del Partito indipendente nelle elezioni presidenziali di Taiwan, che si è ritirato dalla competizione nel novembre 2023. Nelle registrazioni audio si sentiva la voce di Gou che diceva di appoggiare un altro candidato alla presidenza. La voce di Gou nelle registrazioni è probabilmente generata dall'IA, poiché Gou non ha mai rilasciato tale dichiarazione. YouTube è intervenuto rapidamente su questi contenuti prima che raggiungessero un numero importante di utenti. Questi video sono stati pubblicati giorni dopo che era circolata online una falsa lettera di Terry Gou a sostegno dello stesso candidato. Le principali organizzazioni di verifica dei fatti di Taiwan hanno dimostrato la falsità della lettera. Anche la campagna di Gou ha affermato che la lettera era un falso e che avrebbero intrapreso un'azione legale in risposta.⁴ Gou non ha appoggiato formalmente alcun candidato presidenziale.

Un uomo che indossa un completo tiene un discorso da un podio con del testo in cinese e l’elemento grafico di un’onda audio in primo piano.

Figura 3: Dei video pubblicati da Storm-1376 hanno usato registrazioni vocali generate dall’intelligenza artificiale di Terry Gou per far sembrare che il politico appoggiasse un altro candidato.

Giornalisti generati dall'IA: in una serie di campagne con funzionari taiwanesi,⁵ nonché in messaggi relativi al Myanmar, sono apparsi giornalisti creati dall'IA generati da società tecnologiche di terze parti mediante l'uso dello strumento Capcut dell'azienda cinese ByteDance. Sebbene Storm-1376 faccia uso di giornalisti generati dall'IA almeno dal febbraio 2023,⁶ il volume dei contenuti che li includono è aumentato negli ultimi mesi.

Figura 4: Storm-1376 ha pubblicato video in mandarino e in inglese sostenendo la responsabilità di Stati Uniti e India per le sommosse in Myanmar. Lo stesso conduttore generato da IA è usato in alcuni di questi video.

Video ottimizzati dall'IA: come rivelato dal governo canadese e da altri ricercatori, i video ottimizzati dall'IA hanno utilizzato la somiglianza di un dissidente cinese residente in Canada in una campagna rivolta ai parlamentari canadesi.⁷ Questi video, che rappresentavano solo una parte di una campagna su più piattaforme che prevedeva ripetuti attacchi contro politici canadesi sui loro account social, raffiguravano falsamente il dissidente che faceva commenti provocatori sul governo canadese. Contro questo dissidente sono già stati utilizzati in precedenza video ottimizzati dall'IA di natura simile.

Figura 5: Video falsi creati dall'IA del dissidente mentre parla in modo dispregiativo di religione. Pur usando tattiche simili alla campagna canadese, questi video non sembrano correlati in termini di contenuti.

Meme generati dall'IA: in dicembre Storm-1376 ha creato una serie di meme generati dall'IA dell'allora candidato alla presidenza del Partito progressista democratico (PPD) di Taiwan William Lai con un conto alla rovescia che indicava che mancavano "X giorni" per strappare il potere al partito.

Rappresentazione grafica con due immagini una di fianco all’altra: una mostra una figura con una X rossa sopra e l’altra con la stessa figura ma senza segni,

Figura 6: Meme generati dall’intelligenza artificiale che accusano il candidato presidenziale del Partito Progressista Democratico (DPP) William Lai di sottrarre fondi dal Forward-looking Infrastructure Development Program di Taiwan. Questi meme mostrano caratteri semplificati, usati in Cina ma non a Taiwan, e facevano parte di una serie di meme che mostrava un “conto alla rovescia giornaliero per togliere il DPP dal potere”.

Storm-1376 continua a inviare messaggi reattivi, a volte con narrazioni complottiste

Storm-1376, un attore le cui operazioni di influenza coprono 175 siti Web e 58 lingue, continua a organizzare di frequente campagne di messaggistica reattive su eventi geopolitici di alto profilo, in particolare quelli che mettono gli Stati Uniti in cattiva luce o favoriscono l'interesse del PCC nell'area APAC. Dal nostro ultimo report del settembre 2023 queste campagne si sono evolute in diversi importanti modi, includendo foto generate dall'IA per fuorviare il pubblico, alimentando contenuti complottisti (in particolare contro il governo degli Stati Uniti) e mostrando contenuti localizzati a nuove popolazioni, come la Corea del Sud.

1. L'accusa dice che un'"arma meteorologica" del governo statunitense ha provocato incendi alle Hawaii

Nell'agosto 2023, mentre infuriavano gli incendi sulla costa nord-occidentale di Maui, nelle Hawaii, Storm-1376 ha colto l'occasione per diffondere narrazioni complottiste su diversi social network. Nei post si affermava che il governo degli Stati Uniti aveva deliberatamente appiccato gli incendi per testare un'"arma meteorologica" di tipo militare." Oltre a pubblicare il testo in almeno 31 lingue su decine di siti Web e piattaforme, Storm-1376 ha usato immagini generate dall'IA di strade costiere e case in fiamme per rendere i contenuti più appetibili.⁸

Un'immagine composita con un timbro "fake" su scene di enormi incendi.

Figura 8: contenuti cospiratori dei post Storm-1376 che rappresentano l'esplosione di incendi, imputandoli ai test del governo USA di un'"arma meteorologica". Questi post in genere sono accompagnati da foto generate dall'IA di massicci incendi.

2. Amplificazione dell'indignazione per lo smaltimento delle acque reflue nucleari da parte del Giappone

Storm-1376 ha lanciato un'aggressiva campagna di messaggistica su larga scala criticando il governo giapponese dopo che il Giappone ha iniziato a rilasciare acque reflue radioattive trattate nell'Oceano Pacifico il 24 agosto 2023.⁹ I contenuti di Storm-1376 hanno messo in dubbio la valutazione scientifica dell'Agenzia internazionale per l'energia atomica (AIEA) secondo cui lo smaltimento era sicuro. Storm-1376 ha inviato indiscriminatamente messaggi su varie piattaforme social in diverse lingue, tra cui giapponese, coreano e inglese. Alcuni contenuti accusavano addirittura gli Stati Uniti di avvelenare intenzionalmente altri paesi per mantenere "l'egemonia idrica". I contenuti usati in questa campagna sono chiaramente generati dall'IA.

In alcuni casi, Storm-1376 ha riciclato contenuti usati da altri attori nell'ecosistema della propaganda cinese, inclusi influencer dei social network affiliati ai media di stato cinesi.¹⁰ Influencer e risorse appartenenti a Storm-1376 hanno caricato tre video identici che criticavano il rilascio delle acque reflue di Fukushima. Nel corso del 2023 sono aumentati i casi di post di diversi attori che usano contenuti identici apparentemente in sincronia, fenomeno che potrebbe indicare un coordinamento o la ricezione di specifiche istruzioni in termini di messaggi.

Un'immagine composita che rappresenta un'illustrazione satirica di persone, uno screenshot di un video di godzilla e un post social media

Figura 9: Meme e immagini generate dall'IA volte a criticare lo smaltimento delle acque di scarico di Fukushima da risorse di Chinese IO segrete (sinistra) e funzionari del governo cinese (centro). Influencer affiliati a un organo di stampa statale cinese hanno amplificato le critiche, allineate al messaggio governativo, mosse nei confronti dello smaltimento (destra).

3. Promozione della discordia in Corea del Sud

In relazione allo scarico delle acque reflue di Fukushima, Storm-1376 ha compiuto uno sforzo coordinato per mostrare in Corea del Sud contenuti localizzati che amplificavano le proteste in corso nel paese contro lo smaltimento, nonché contenuti critici nei confronti del governo giapponese. Questa campagna includeva centinaia di post in coreano su più piattaforme e siti Web, inclusi social network sudcoreani come Kakao Story, Tistory e Velog.io.¹¹

Nell'ambito di questa campagna mirata, Storm-1376 ha amplificato attivamente i commenti e le azioni del leader di Minjoo e candidato presidenziale perdente del 2022, Lee Jaemyung (이재명, 李在明). Lee ha criticato la mossa del Giappone definendola "terrorismo dell'acqua contaminata" e pari a una "seconda guerra del Pacifico." Ha inoltre accusato l'attuale governo della Corea del Sud di essere "complice per via del suo sostegno" alla decisione del Giappone e per protesta ha iniziato uno sciopero della fame durato 24 giorni.¹²

Fumetto a quattro vignette sull’inquinamento dell’ambiente e il suo impatto sulle specie marine.

Figura 10: Meme in coreano, sulla piattaforma di blog della Corea del Sud Tistory, amplificano il disaccordo in merito allo smaltimento delle acque reflue di Fukushima.

4. Deragliamento in Kentucky

Nel novembre 2023, durante la festa del Ringraziamento, un treno che trasportava zolfo fuso è deragliato nella contea di Rockcastle, nel Kentucky. Circa una settimana dopo il deragliamento, Storm-1376 ha lanciato una campagna sui social network che ha amplificato la notizia del deragliamento, diffondendo teorie complottiste contro il governo degli Stati Uniti ed enfatizzando divisioni politiche tra gli elettori statunitensi, con il risultato di fomentare disillusione e sospetti nei confronti del governo. Storm-1376 ha esortato il pubblico a chiedersi se il governo degli Stati Uniti avesse causato il deragliamento e stesse "deliberatamente nascondendo qualcosa".¹³ Alcuni messaggi hanno addirittura paragonato il deragliamento alle teorie sull'insabbiamento dell'11 settembre e di Pearl Harbor.¹⁴

Sockpuppet IO cinesi cercano prospettive su argomenti politici negli Stati Uniti

Nel nostro report del settembre 2023 abbiamo parlato di come account dei social network affiliati al PCC abbiano iniziato a impersonare gli elettori statunitensi fingendosi americani di diversi schieramenti politici e rispondendo ai commenti di utenti autentici.¹⁵ Questi tentativi di influenzare nel 2022 le elezioni statunitensi di metà mandato hanno segnato la prima operazione di influenza cinese osservata.

Il Microsoft Threat Analysis Center (MTAC) ha osservato un piccolo ma costante aumento di altri account sockpuppet che Microsoft ritiene con moderata certezza che siano gestiti dal PCC. Su X (l'ex Twitter), questi account sono stati creati già nel 2012 o 2013, ma hanno iniziato a pubblicare con i loro personaggi attuali solo all'inizio del 2023, il che fa pensare che gli account siano stati acquisiti di recente o riutilizzati. Questi sockpuppet pubblicano video, meme e infografiche originali, ma anche contenuti riciclati da altri account politici di alto profilo. Questi account pubblicano quasi esclusivamente contenuti legati a questioni interne agli Stati Uniti, che vanno dal problema americano dell'uso di droga alle politiche di immigrazione passando per le tensioni razziali, ma occasionalmente commentano argomenti di interesse per la Cina, come lo scarico delle acque reflue di Fukushima o i dissidenti cinesi.

Screenshot di un computer con il testo Guerra e conflitti, problemi legati alla droga, relazioni di etnia ecc.

Figura 11: Nel corso dell’estate e dell’autunno, utenti fantoccio e alter ego hanno usato spesso elementi visivi coinvolgenti nei loro post quando discutevano di argomenti della politica americana ed eventi attuali e talvolta i post venivano migliorati con l’intelligenza artificiale generativa.

Insieme a infografiche o video a sfondo politico, questi account spesso chiedono ai follower se sono d'accordo con l'argomento in questione. Alcuni di questi account hanno pubblicato post su vari candidati presidenziali chiedendo poi ai loro follower di commentare se li sostengono o meno. Questa tattica potrebbe avere lo scopo di cercare un ulteriore coinvolgimento o possibilmente di ottenere informazioni su come gli americani vedono la politica del governo. Altri account di questo tipo potrebbero agire per aumentare la raccolta di informazioni sulle principali caratteristiche demografiche dei votanti negli Stati Uniti.

Confronto di immagini su schermo diviso: a sinistra un aereo militare che decolla da una portaerei e a destra un gruppo di persone sedute dietro una transenna

Figura 12: Sockpuppet cinesi sollecitano opinioni su temi politici di altri utenti su X

Nel 2023 gli attori di minacce informatiche nordcoreani hanno rubato centinaia di milioni di dollari in criptovalute, compiuto attacchi alla catena di approvvigionamento di software e colpito presunti avversari della sicurezza nazionale. Queste operazioni generano entrate per il governo nordcoreano, in particolare per il programma di armamenti, e raccolgono informazioni su Stati Uniti, Corea del Sud e Giappone.¹⁶

Infografica che mostra i settori e i paesi/aree geografiche più presi di mira per le minacce informatiche.

Figura 13: i settori e i paesi/aree geografiche della Corea del Nord da giugno 2023 a gennaio 2024 in base ai dati di notifica stato-nazione di Microsoft Threat Intelligence.

Gli attori informatici nordcoreani rubano quantità record di criptovalute per generare entrate per lo stato.

Le Nazioni Unite stimano che dal 2017 gli attori di minacce informatiche nordcoreani abbiano rubato oltre 3 miliardi di dollari in criptovalute.¹⁷ Solo nel 2023 si sono verificati furti per un totale compreso tra 600 milioni e 1 miliardo di dollari. Secondo quanto riferito, i fondi rubati finanziano oltre la metà del programma nucleare e missilistico del paese, consentendo di aumentare gli armamenti e i test su di essi in Corea del Nord nonostante le sanzioni.¹⁸ Nell'ultimo anno, la Corea del Nord ha condotto numerosi test missilistici e numerose esercitazioni militari e il 21 novembre 2023 ha persino lanciato con successo nello spazio un satellite militare da ricognizione.¹⁹

Dal giugno 2023 tre attori di minacce monitorati da Microsoft (Jade Sleet, Sapphire Sleet e Citrine Sleet) si sono concentrati soprattutto su obiettivi legati alle criptovalute. Jade Sleet ha eseguito grandi furti di criptovalute, mentre Sapphire Sleet ha condotto operazioni di furto di criptovalute più piccole ma più frequenti. Microsoft ha attribuito a Jade Sleet il furto di almeno 35 milioni di dollari da parte di una società di criptovalute con sede in Estonia all'inizio di giugno 2023. Microsoft ha inoltre attribuito a Jade Sleet la rapina di oltre 125 milioni di dollari da parte di una piattaforma di criptovalute con sede a Singapore avvenuta un mese dopo. Nell'agosto 2023 Jade Sleet ha iniziato a compromettere i casinò online di criptovalute.

Sapphire Sleet ha costantemente compromesso numerosi dipendenti, inclusi dirigenti e sviluppatori di criptovalute, venture capital e altre organizzazioni finanziarie. Ha inoltre sviluppato nuove tecniche, come l'invio di falsi inviti a riunioni virtuali contenenti collegamenti al dominio di un utente malintenzionato e la registrazione di falsi siti Web di selezione per il lavoro. Citrine Sleet ha dato seguito all'attacco alla catena di approvvigionamento dell'applicazione 3CX del marzo 2023 compromettendo un'azienda downstream di criptovalute e asset digitali con sede in Turchia. La vittima ha ospitato una versione vulnerabile dell'applicazione 3CX collegata alla compromissione della catena di approvvigionamento.

Gli attori di minacce informatiche nordcoreani minacciano il settore IT con attacchi alla catena di approvvigionamento di software e di spear phishing

Gli attori di minacce nordcoreani hanno anche compiuto attacchi alla catena di approvvigionamento di software di aziende IT, con conseguente accesso ai clienti in downstream. Jade Sleet ha utilizzato repository GitHub e pacchetti npm con intento malevolo in una campagna di spear phishing di ingegneria sociale che ha colpito i dipendenti di organizzazioni tecnologiche e di criptovalute.²⁰ I criminali si sono spacciati per sviluppatori o reclutatori, hanno invitato le vittime a collaborare su un repository GitHub e li hanno convinti a clonare ed eseguire i relativi contenuti, che contenevano pacchetti npm dannosi. Nell'agosto 2023 Diamond Sleet ha compiuto un attacco di compromissione della catena di approvvigionamento di una società IT con sede in Germania e ha usato con intento malevolo l'applicazione di una società IT con sede a Taiwan per condurre un attacco alla catena di approvvigionamento nel novembre 2023. Nell'ottobre 2023 Diamond Sleet e Onyx Sleet hanno sfruttato la vulnerabilità CVE-2023-42793 di TeamCity, che consente a un utente malintenzionato di eseguire un attacco di esecuzione di codice in modalità remota e ottenere il controllo amministrativo del server. Diamond Sleet ha utilizzato questa tecnica per compromettere centinaia di vittime in vari settori negli Stati Uniti e in paesi europei, tra cui Regno Unito, Danimarca, Irlanda e Germania. Onyx Sleet ha sfruttato la stessa vulnerabilità per compromettere almeno 10 vittime, tra cui un fornitore di software in Australia e un'agenzia governativa in Norvegia. Ha inoltre utilizzato strumenti post-compromissione per eseguire ulteriori payload.

Gli attori informatici nordcoreani hanno colpito gli Stati Uniti, la Corea del Sud e i loro alleati

Gli attori di minacce nordcoreani hanno continuato a colpire i loro presunti avversari nel settore della sicurezza nazionale. Attività informatiche come questa dimostrano l'obiettivo geopolitico della Corea del Nord di contrastare l'alleanza trilaterale tra Stati Uniti, Corea del Sud e Giappone. I leader dei tre Paesi hanno consolidato questa partnership nell'agosto 2023, durante il vertice di Camp David. Ruby Sleet e Onyx Sleet hanno continuato a prendere di mira organizzazioni aerospaziali e della difesa negli Stati Uniti e in Corea del Sud. Emerald Sleet ha continuato la sua campagna di ricognizione e spear phishing nella penisola coreana, colpendo diplomatici ed esperti governativi, think tank e ONG e il settore dei media e dell'istruzione. Nel giugno 2023 Pearl Sleet ha continuato le sue operazioni contro enti sudcoreani che collaborano con disertori e attivisti nordcoreani impegnati su questioni relative ai diritti umani nordcoreani. Microsoft ritiene che il motivo alla base di queste attività sia la raccolta di informazioni.

Gli attori nordcoreani implementano backdoor in software legittimi

Gli attori di minacce nordcoreani hanno usato inoltre backdoor in software legittimi, sfruttando le vulnerabilità dei software esistenti. Nella prima metà del 2023 Diamond Sleet ha spesso usato software dannosi VNC con intenti malevoli per colpire le sue vittime. Nel luglio 2023 Diamond Sleet ha inoltre ripreso a usare software dannosi per lettori PDF con intento malevolo, una tecnica analizzata da Microsoft Threat Intelligence in un post di blog del settembre 2022.²¹ Nel dicembre 2023 Ruby Sleet ha inoltre probabilmente utilizzato un programma di installazione backdoor di un programma per documenti elettronici sudcoreano.

La Corea del Nord ha utilizzato strumenti di IA per portare a termine attività informatiche dannose

Gli attori di minacce nordcoreani si stanno adattando all'era dell'IA. e stanno imparando a utilizzare strumenti basati su modelli linguistici di grandi dimensioni (LLM) di IA per rendere le loro operazioni più efficienti ed efficaci. Ad esempio, Microsoft e OpenAI hanno osservato che Emerald Sleet usa gli LLM per potenziare le campagne di spear phishing contro gli esperti della penisola coreana.²² Emerald Sleet ha utilizzato gli LLM per ricercare le vulnerabilità e condurre ricognizioni su organizzazioni ed esperti interessati alla Corea del Nord. Emerald Sleet ha inoltre usato gli LLM per risolvere problemi tecnici, svolgere attività di scripting di base e creare bozze di contenuti per messaggi di spear phishing. Microsoft ha collaborato con OpenAI per disabilitare account e risorse associati a Emerald Sleet.

La Cina celebrerà il 75° anniversario della fondazione della Repubblica popolare cinese a ottobre e la Corea del Nord continuerà a portare avanti i principali programmi di armi avanzate. Nel frattempo, mentre le popolazioni di India, Corea del Sud e Stati Uniti si recano alle urne, è probabile che vedremo gli attori di minacce informatiche e di influenza cinesi e, in una certa misura, gli attori di minacce informatiche nordcoreani lavorare per colpire queste elezioni.

La Cina, come minimo, creerà e amplificherà i contenuti generati dall'IA a vantaggio della sua posizione in queste elezioni di alto profilo. Sebbene l'impatto di tali contenuti nell'influenzare il pubblico rimanga basso, la Cina continuerà a provare ad aumentare meme, video e audio, strategia che potrebbe rivelarsi efficace in futuro. Sebbene gli attori di minacce informatiche cinesi conducano da tempo la ricognizione delle istituzioni politiche statunitensi, siamo pronti a vedere gli attori di operazioni di influenza interagire con gli americani per coinvolgerli e potenzialmente ricercare punti di vista sulla politica statunitense.

Infine, mentre la Corea del Nord intraprende nuove politiche governative e persegue piani ambiziosi per i test sulle armi, possiamo aspettarci furti di criptovalute sempre più sofisticati e attacchi alla catena di approvvigionamento mirati al settore della difesa, che serviranno sia a incanalare denaro nel regime sia a facilitare lo sviluppo di nuove capacità militari.

[1]
archive.is/0Vdez
[2]
"Flax Typhoon using legitimate software to quietly access Taiwanese organizations" (Flax Typhoon utilizza software legittimi per entrare di frodo in organizzazioni taiwanesi), 24 agosto 2023
[3]
Volt Typhoon targets US critical infrastructure with living-off-the-land Organization (Volt Typhoon prende di mira l'infrastruttura critica con organizzazioni off-the-land), 24 maggio 2023
[4]

錯誤】網傳「台灣阿銘的公開信」？集中投給特定陣營？非郭台銘發出”, 1 gennaio 2024,

mygopen.com/2024/01/letter.html “【假借冠名】網傳「
台灣阿銘的公開信」？", 11 gennaio 2024, tfc-taiwan.org.tw/articles/10143
[5]
taipeitimes.com/News/front/archives/2024/01/11/2003811930>"China is posting fake videos of president: sources" (La Cina pubblica video fasulli di fonti presidenziali), 11 gennaio 2024
[6]
"Deepfake It Till You Make It (L'uso dei falsi che sembrano veri)", febbraio 2023
[7]
"Probable PRC "Spamouflage" campaign targets dozens of Canadian Members of Parliament in presidenti campaign" (Probabile campagna PRC di "Spamouflage" prende di mira decine di parlamentari canadesi nella campagna presidenziale), ottobre 2023
[8]
"China Sows Disinformation About Hawaii Fires Using New Techniques" (La Cina dissemina disinformazione sugli incendi delle Hawaii usando nuove tecniche), 11 settembre 2023
[9]
Numerose fonti hanno documentato la recente campagna di propaganda del governo cinese che punta a suscitare indignazione internazionale per la decisione del Giappone di smaltire le acque reflue nucleari provenienti dall’incidente di Fukushima Daiichi del 2011, vedi: China’s Disinformation Fuels Anger Over Fukushima Water Release” (La disinformazione della Cina suscita rabbia sullo scarico delle acque reflue di Fukushima), 31 August 2023, “Japan targeted by Chinese propaganda and covert online campaign” (Il Giappone vittima della propaganda e della campagna di disinformazione cinese), 8 June 2023
[10]
"Chinese State Media's Global Influencer Operation" (L'operazione globale dei media di stato cinesi), 31 gennaio 2022
[11]
web.archive.org/web/*/https:/gdfdhgkjhk.tistory.com/
[12]
Queste operazioni sono avvenute mesi prima che la community dell'intelligence della Corea del Sud svelasse una rete separata di siti Web che diffondevano propaganda del CCP, che il National Intelligence Service (NIS) del paese ha attribuito a due società di pubbliche relazioni cinesi, Haixun e Haimai, consultare: "(NCSC 합동분석협의체) 중국의 언론사 위장 웹사이트를 악용한 영향력 활동", 13 novembre 2023
[13]
archive.is/2pyle
[14]
471802-train-derailment-america-s-environmental-conspiracybafybeibubf4ivvsadcgy4kjvbwynjk24rmkn7h7grtado4yvetd7c2ajbe
[15]
"Sophistication, scope, and scale: Digital threats from East Asia increase in breadth and effectiveness" (Complessità, obiettivi e scala: le minacce digitali dell'Asia orientale aumentano in volume e efficacia), settembre 2023
[16]
"North Korea CyberThreat Overview and Advisories" (La minaccia informatica della Corea del Nord, panoramica e raccomandazioni)cisa.gov/topics/cyber-threats-and-advisories/advanced-persistent-threats/north-korea
[17]
"Exclusive: UN experts investigate 58 cyberattacks worth USD$3 bln by North Korea"(Esclusiva: esperti delle Nazioni Unite analizzano 58 attacchi informatici per in valore di 3 miliardi di dollari da parte della Corea del Nord), 8 febbraio 2024; "North Korean Hackers Stole USD$600 Million in Crypto in 2023" (Hacker nordcoreani si impossessano di 600 milioni di dollari in criptovaluta), 5 gennaio 2024,
[18]
"Half of North Korean missile program funded by cyberattacks and crypto theft, White House says" (La metà del programma missilistico nordcoreano è finanziato da attacchi informatici e furto di criptovaluta, afferma la Casa Bianca), 10 maggio 2023
[19]
"North Korea claims it launched first spy satellite, promises more" (La Corea del Nord dice di aver lanciato il suo primo satellite spia e ne prevede altri), 22 novembre 2023
[20]
"Security alert: social engineering campaign targets technology industry employees" (Avviso di sicurezza: campagne di ingegneria sociale prendono di mira i dipendenti del settore della tecnologia), 18 luglio 2023
[21]
"ZINC weaponizing open-source software" (ZINC utilizza software open source in operazioni malevole), 29 settembre 2022
[22]
Come difendersi dagli attori di minacce

Panorama delle minacce

Scarica