Mesmos alvos, novos manuais de procedimentos: os atores de ameaças da Ásia Leste utilizam métodos exclusivos

Ilustração abstrata de um navio militar com círculos gráficos vermelhos e elementos de malha pretos sobre um fundo rosa.

A Microsoft observou várias tendências cibernéticas e de influência notáveis da China e da Coreia do Norte desde julho de 2023 que demonstram não só uma insistência em alvos familiares, mas também tentativas de utilizar técnicas de influência mais sofisticadas para alcançar os seus objetivos.

Os ciberatores chineses selecionaram em geral três áreas alvo nos últimos sete meses:

Um conjunto de atores chineses visou extensivamente entidades nas Ilhas do Pacífico Sul.
Um segundo conjunto de atividade chinesa continuou uma sequência de ciberataques contra adversários regionais na região do Mar da China Meridional.
Entretanto, um terceiro conjunto de atores chineses comprometeram a base industrial de defesa dos EUA.

Os atores de influência chineses, em vez de alargar o âmbito geográfico dos seus alvos, refinaram as suas técnicas e experimentaram nova multimédia. As campanhas de influência chinesas continuaram a refinar conteúdo gerado ou melhorado por IA. Os atores de influência por trás destas campanhas mostraram uma disponibilidade para amplificar multimédia gerada por IA que beneficia as suas narrativas estratégicas, bem como criar o seu próprio conteúdo de vídeo, memes e áudio. Tais táticas foram utilizadas em campanhas a alimentar divisões nos Estados Unidos e a exacerbar desavenças na região Ásia-Pacífico, incluindo Taiwan, Japão e Coreia do Sul. Estas campanhas atingiram diferentes níveis de aceitação, sem que nenhuma fórmula única produzisse envolvimento consistente do público-alvo.

Os ciberatores norte-coreanos fizeram manchetes por aumentar os ataques a cadeias de abastecimento de software e assaltos de criptomoedas no último ano. Embora campanhas estratégicas de spear-phishing a visar investigadores que estudam na península coreana se tenham mantido uma tendência constante, os atores de ameaças norte-coreanos pareceram utilizar mais software legítimo para comprometer ainda mais vítimas.

Gingham Typhoon visa entidades governamentais, de TI e multinacionais nas ilhas do Pacífico Sul

Durante o verão de 2023, as Informações sobre Ameaças da Microsoft observaram atividade extensiva do grupo de espionagem baseado na China Gingham Typhoon que visou quase todos os países de ilhas do Pacífico Sul. O Gingham Typhoon é o ator mais ativo nesta região, atacando organizações internacionais, entidades governamentais e o setor de TI com campanhas complexas de phishing. As vítimas também incluíram críticos notórios do governo chinês.

Os aliados diplomáticos da China que foram vítimas da atividade recente do Gingham Typhoon incluíram departamentos executivos governamentais, departamentos relacionados com comércio, fornecedores de serviços de Internet, bem como uma entidade de transporte.

O aumento da concorrência geopolítica e diplomática na região poderá motivar estas atividades cibernéticas ofensivas. A China procura estabelecer parcerias estratégicas com nações insulares do Pacífico Sul para expandir os laços económicos e mediar acordos diplomáticos e de segurança. A ciberespionagem chinesa nesta região também se estende aos parceiros económicos.

Por exemplo, atores chineses visaram, em larga escala, organizações multinacionais na Papua-Nova Guiné, um parceiro diplomático de longa data que beneficia de vários projetos da Iniciativa Nova Rota da Seda (BRI), entre os quais se inclui a construção de uma importante autoestrada que liga um edifício do Governo da Papua-Nova Guiné à estrada principal da capital.¹

Mapa a ilustrar a frequência de ciberameaças visadas em nações de ilhas do pacífico, com círculos maiores

Figura 1: Eventos observados do Gingham Typhoon de junho de 2023 a janeiro de 2024. Esta atividade realça o seu foco contínuo nas nações de Ilhas do Pacífico Sul. No entanto, muitas destas ações têm sido contínuas, o que reflete um foco de vários anos na região. As localizações geográficas e o diâmetro da simbologia são representativos.

Atores de ameaças chineses mantêm o foco no Mar da China Meridional entre exercícios militares ocidentais

Os atores de ameaças baseados na China continuaram a visar entidades relacionadas com interesses económicos e militares da China no e em redor do Mar da China Meridional. Estes atores comprometeram de forma oportunista vítimas de governos e de telecomunicações na Associação de Nações do Sudeste Asiático (ASEAN). Os ciberatores afiliados com o estado chinês pareceram especialmente interessados em alvos relacionados com vários exercícios militares dos EUA na região. Em junho de 2023, o Raspberry Tycoon, um grupo de atividades de estado-nação baseado na China, visou com êxito entidades militares e executivas na Indonésia e um sistema marítimo malaio nas semanas anteriores a um raro exercício naval multilateral que envolveu a Indonésia, a China e os Estados Unidos.

De forma semelhante, as entidades relacionadas com exercícios militares entre EUA e Filipinas foram visados por outro ciberator chinês, o Flax Typhoon. Entretanto, Granite Typhoon, mais um ator da ameaça sediado na China, comprometeu sobretudo entidades de telecomunicações da região durante este período, com vítimas na Indonésia, Malásia, Filipinas, Camboja e Taiwan.

Desde a publicação do blogue da Microsoft sobre Flax Typhoon, a Microsoft identificou novos alvos do Flax Typhoon nas Filipinas, em Hong Kong, na Índia e nos Estados Unidos, no início do outono e no inverno de 2023.² Este ator também ataca frequentemente o setor das telecomunicações, o que costuma gerar muitos efeitos em cadeia.

Mapa a mostrar dados das informações sobre ameaças da microsoft sobre as regiões mais visadas na ásia,

Figura 2: Eventos observados a visar países no, ou perto do, Mar da China Meridional pelo Flax Typhoon, Granite Typhoon ou Raspberry Typhoon. As localizações geográficas e o diâmetro da simbologia são representativos.

Nylon Typhoon compromete entidades de negócios estrangeiros em todo o mundo

O ator de ameaças baseado na China, Nylon Typhoon, continuou a sua prática de longa data de visar entidades de negócios estrangeiros em países de todo o mundo. Entre junho e dezembro de 2023, a Microsoft observou o Nylon Typhoon em entidades governamentais na América do Sul, incluindo no Brasil, na Guatemala, na Costa Rica e no Peru. O ator de ameaças também foi observado na Europa, a comprometer entidades governamentais em Portugal, França, Espanha, Itália e Reino Unido. Embora a maioria dos alvos europeus tenha sido entidades governamentais, algumas empresas de TI também foram comprometidas. O objetivo desta definição de alvos é a recolha de inteligência.

Grupo de ameaças chinês visa entidades militares e infraestruturas críticas nos Estados Unidos

Por fim, o Storm-0062 aumentou a atividade no outono e no inverno de 2023. Grande parte desta atividade comprometeu entidades públicas dos EUA ligadas à defesa, nomeadamente contratantes que prestam serviços de engenharia técnica nos domínios aeroespacial, da defesa e dos recursos naturais essenciais para a segurança nacional dos EUA. Além disso, o Storm-0062 visou repetidamente entidades militares nos Estados Unidos; contudo, não é claro se o grupo teve êxito nas tentativas de comprometimento.

A base industrial de defesa dos EUA também continua a ser um alvo do Volt Typhoon. Em maio de 2023, a Microsoft atribuiu ao Volt Typhoon, um ator patrocinado pelo Estado e sediado na China, os ataques a organizações de infraestruturas críticas dos EUA. Volt Typhoon obteve acesso às redes das organizações através de técnicas com recurso a ferramentas nativas e de atividade manual no teclado.³ Estas táticas permitiram que Volt Typhoon mantivesse de forma furtiva o acesso não autorizado às redes visadas. Entre junho e dezembro de 2023, Volt Typhoon continuou a visar infraestruturas críticas, mas procurou também desenvolver recursos ao comprometer dispositivos de pequenos escritórios e escritórios domésticos (SOHO) nos Estados Unidos.

No nosso relatório de setembro de 2023, detalhámos como ativos de operações de influência (OI) chineses começaram a utilizar IA generativa para criar conteúdo visual elegante e cativante. Ao longo do verão, as Informações sobre Ameaças da Microsoft continuaram a identificar memes gerados por IA dirigidos aos Estados Unidos, que amplificavam questões internas controversas e criticavam a atual administração. Os atores de operações de influência ligados à China continuaram a utilizar conteúdos multimédia melhorados e gerados por IA (doravante, “conteúdo de IA”) em campanhas de influência, em volumes e com uma frequência crescentes ao longo do ano.

A IA atinge um pico (mas não consegue influenciar)

O mais prolífico destes atores a utilizar conteúdo de IA é o Storm-1376, a designação da Microsoft para o ator associado ao Partido Comunista Chinês (PCC) conhecido como “Spamouflage” ou “Dragonbridge”. No inverno, outros atores associados ao PCC começaram a utilizar uma série mais vasta de conteúdo de IA para aumentar as OI online. Isto incluiu um aumento notável em conteúdo a incluir figuras políticas taiwanesas antes das eleições presidenciais e legislativas de 13 de janeiro. Foi a primeira vez que as Informações sobre Ameaças da Microsoft observaram um ator do estado-nação a utilizar conteúdo de IA na tentativa de influenciar uma eleição estrangeira.

Áudio gerado por IA: no dia das eleições em Taiwan, o Storm-1376 publicou clips de áudio, presumivelmente gerados por IA, com a voz de Terry Gou, proprietário da Foxconn e candidato independente às eleições presidenciais de Taiwan, que abandonou a corrida em novembro de 2023. As gravações de áudio reproduziam a voz de Gou a apoiar outro candidato à presidência. A voz de Gou nas gravações foi provavelmente gerada por IA, uma vez que Gou não fez tal declaração. O YouTube acionou rapidamente este conteúdo antes de ter alcançado um número de utilizadores significativos. Estes vídeos seguiram dias após uma carta falta de Terry Gou a apoiar o mesmo candidato ter circulado online. As principais organizações de verificação de factos de Taiwan desmentiram a carta. A equipa de campanha de Gou também afirmou que a carta era falsa e que avançaria com uma ação judicial em resposta.⁴ Gou não apoiou formalmente qualquer candidato presidencial na corrida.

Um homem de fato a falar num pódio com texto chinês e uma imagem de uma forma de onda de áudio em primeiro plano.

Figura 3: Vídeos publicados pelo Storm-1376 utilizaram gravações de voz de Terry Gou geradas por IA para fazer parecer que apoiou outro candidato.

Apresentadores gerados por IA: apresentadores de notícias criados com IA por empresas tecnológicas de terceiros, através da ferramenta Capcut da empresa tecnológica chinesa ByteDance, surgiram em várias campanhas com responsáveis de Taiwan,⁵ bem como em mensagens sobre Mianmar. O Storm-1376 utiliza apresentadores de notícias gerados por IA deste tipo desde, pelo menos, fevereiro de 2023,⁶ mas o volume de conteúdos com estes apresentadores aumentou nos últimos meses.

Figura 4: O Storm-1376 publicou vídeos em mandarim e inglês a alegar que os Estados Unidos e a Índia foram responsáveis pela agitação no Myanmar. O mesmo pivô gerado por IA é utilizado em alguns destes vídeos.

Vídeos melhorados por IA: conforme divulgado pelo Governo do Canadá e por outros investigadores, vídeos melhorados por IA utilizaram a imagem de um dissidente chinês radicado no Canadá numa campanha dirigida a deputados canadianos.⁷ Estes vídeos, que constituíam apenas uma parte de uma campanha multiplataforma que incluiu o assédio a políticos canadianos nas respetivas contas de redes sociais, retratavam falsamente o dissidente a fazer declarações incendiárias sobre o Governo do Canadá. Já tinham sido utilizados vídeos semelhantes, melhorados por IA, contra este dissidente.

Figura 5: Vídeos deepfake possibilitados por IA do dissidente a falar de uma forma depreciativa sobre religião. Embora utilizem táticas semelhantes às da campanha do Canadá, estes vídeos parecem não relacionados em termos de conteúdo.

Memes gerados por IA: em dezembro, o Storm-1376 promoveu uma série de memes gerados por IA sobre William Lai, então candidato presidencial do Partido Democrático Progressista (DPP) de Taiwan, com um tema de contagem decrescente que assinalava “X dias” até retirar o DPP do poder.

Representação gráfica com duas imagens lado a lado, uma com uma figura com um x vermelho e a outra com a mesma figura não marcada,

Figura 6: Memes gerados por IA acusam o candidato presidencial do DPP William Lai de desviar fundos do Programa de Desenvolvimento de Infraestrutura Progressista do Taiwan. Estes memes incluíam carateres simplificados (utilizados na República Popular da China, mas não no Taiwan) e faziam parte de uma série que mostrava uma “contagem decrescente para tirar o DPP do poder” diária.

Storm-1376 continua com mensagens reativas, por vezes com narrativas conspiratórias

O Storm-1376, um ator cujas operações de influência abrangem mais de 175 sites e 58 idiomas, continuou a montar frequentemente campanhas de mensagens reativas em torno de eventos geopolíticos importantes, especialmente aqueles que retratam os Estados Unidos de forma desfavorável ou favorecem os interesses do PCC na região APAC. Desde o nosso último relatório em setembro de 2023, estas campanhas evoluíram de várias formas importantes, incluindo incorporar fotografias geradas por IA para induzir públicos-alvo em erro, alimentar conteúdo conspiratório, especialmente contra o governo dos EUA, e visar novas populações, como a Coreia do Sul, com conteúdo localizado.

1. Alegação de que uma “arma meteorológica” do Governo dos EUA provocou os incêndios florestais no Havai

Em agosto de 2023, enquanto os incêndios florestais assolavam a costa noroeste de Maui, no Havai, o Storm-1376 aproveitou a oportunidade para difundir narrativas conspiratórias em várias plataformas de redes sociais. Estas publicações alegavam que o Governo dos EUA tinha provocado deliberadamente os incêndios para testar uma “arma meteorológica” de nível militar. Além de publicar o texto em, pelo menos, 31 idiomas em dezenas de sites e plataformas, o Storm-1376 utilizou imagens geradas por IA de estradas costeiras e residências em chamas para tornar o conteúdo mais apelativo.⁸

Uma imagem composta com um carimbo “fake” sobre as cenas de incêndios dramáticos.

Figura 8: O Storm-1376 publica conteúdo conspiratório poucos dias depois do início dos fogos florestais, alegando que os incêndios resultaram de testes por parte do governo dos EUA de uma “arma meteorológica”. Estas publicações eram frequentemente acompanhadas de fotografias geradas por IA de incêndios enormes.

2. Amplificar a indignação com a eliminação de águas residuais nucleares pelo Japão

O Storm-1376 lançou uma campanha de mensagens agressiva e em larga escala, que criticava o Governo japonês, após o Japão ter começado a libertar águas residuais radioativas tratadas no oceano Pacífico, em 24 de agosto de 2023.⁹ Os conteúdos de Storm-1376 puseram em causa a avaliação científica da Agência Internacional de Energia Atómica (AIEA), segundo a qual a eliminação era segura. O Storm-1376 difundiu mensagens indiscriminadamente em plataformas de redes sociais, em vários idiomas, como japonês, coreano e inglês. Algum conteúdo acusou até os Estados Unidos de envenenar propositadamente outros países para manter a “hegemonia aquática”. O conteúdo utilizado nesta campanha tem o traço distintivo da geração de IA.

Em alguns casos, o Storm-1376 reutilizou conteúdos utilizados por outros atores do ecossistema de propaganda chinês, entre os quais se encontram influenciadores de redes sociais associados aos meios de comunicação estatais chineses.¹⁰ Os influenciadores e os recursos pertencentes ao Storm-1376 carregaram três vídeos idênticos que criticavam a descarga de águas residuais de Fukushima. Ao longo de 2023, aumentaram os casos de publicações de diferentes atores com conteúdos idênticos e aparentemente sincronizados, o que pode indicar coordenação ou orientação das mensagens.

Uma imagem composta com uma ilustração de pessoas satírica, uma captura de ecrã de um vídeo a retratar o godzilla e uma publicação numa rede social

Figura 9: Memes e imagens gerados por IA críticos do despejo de águas residuais de Fukushima de recursos de IO chineses furtivos (esquerda) e representantes do governo chinês (centro). Influenciadores afiliados à comunicação social estatal chinesa também amplificaram mensagens alinhadas com o governo críticas dos despejos (direita).

3. Fomentar a discórdia na Coreia do Sul

No contexto da descarga de águas residuais de Fukushima, o Storm-1376 envidou esforços concertados para visar a Coreia do Sul com conteúdos localizados que amplificavam os protestos no país/região contra a eliminação, bem como com conteúdos críticos do Governo japonês. Esta campanha incluiu centenas de publicações em coreano em várias plataformas e sites, entre os quais sites de redes sociais sul-coreanos, como Kakao Story, Tistory e Velog.io.¹¹

No âmbito desta campanha direcionada, o Storm-1376 amplificou ativamente os comentários e as ações do líder do Minjoo e candidato presidencial derrotado em 2022, Lee Jaemyung (이재명, 李在明). Lee classificou a medida do Japão como “terrorismo de água contaminada” e equiparou-a a uma “Segunda Guerra do Pacífico.” Também acusou o atual Governo da Coreia do Sul de ser um “cúmplice por apoiar” a decisão do Japão e iniciou, em protesto, uma greve de fome que durou 24 dias.¹²

História de banda desenhada de quatro painéis a abordar a poluição ambiental e o seu impacto na vida marinha.

Figura 10: Memes em coreano da plataforma de blogue sul-coreana Tistory amplificam discórdia sobre o despejo de águas residuais de Fukushima.

4. Descarrilamento de Kentucky

Durante o feriado de Ação de Graças, em novembro de 2023, um comboio que transportava enxofre fundido descarrilou no condado de Rockcastle, no Kentucky. Cerca de uma semana após o descarrilamento, o Storm-1376 lançou uma campanha nas redes sociais que deu maior destaque ao incidente, difundiu teorias da conspiração contra o Governo dos EUA e destacou as divisões políticas entre os eleitores norte-americanos, o que, em última análise, incentivou a desconfiança e a desilusão em relação ao Governo dos EUA. O Storm-1376 incentivou as audiências a ponderar se o Governo dos EUA poderia ter causado o descarrilamento e se estava “deliberadamente a esconder algo.”¹³ Algumas mensagens chegaram a comparar o descarrilamento às teorias de encobrimento sobre o 11 de setembro e Pearl Harbor.¹⁴

Contas-fantoche das operações de influência chinesas procuram perspetivas sobre temas políticos dos EUA

No nosso relatório de setembro de 2023, destacámos como contas de redes sociais associadas ao PCC começaram a fazer-se passar por eleitores dos EUA, ao apresentarem-se como norte-americanos de todo o espetro político e ao responderem a comentários de utilizadores autênticos.¹⁵ Estes esforços para influenciar as eleições intercalares dos EUA de 2022 constituíram uma novidade nas operações de influência chinesas observadas.

O Centro de Análise de Ameaças da Microsoft (MTAC) observou um pequeno, mas constante, aumento em contas sockpuppet adicionais que cremos com moderada confiança que são do PCC. No X (ex-Twitter), estas contas foram criadas desde 2012 ou 2013, mas só começaram a publicar com as suas personas atuais no início de 2023, o que sugere que as contas foram recentemente adquiridas ou foram readaptadas. Estes sockpuppets publicam vídeos, memes e infografia produzidos originalmente, bem como conteúdo reciclado de outras contas políticas famosas. Estas contas publicam quase exclusivamente sobre problemas domésticos dos EUA, como uso de drogas nos EUA, políticas de imigração e tensões raciais, mas ocasionalmente comentam sobre tópicos do interesse da China, como o despejo de águas residuais de Fukushima ou dissidentes chineses.

Uma captura de ecrã de um computador com o texto War and conflicts,drug issue race relations etc.

Figura 11: Durante todo o verão e outono, sockpuppets e personas chineses utilizaram frequentemente elementos visuais cativantes, por vezes melhorados através de IA generativa, nas suas publicações ao debater assuntos políticos e atualizados dos EUA.

Juntamente com infografia ou vídeos com motivações políticas, estas contas perguntam frequentemente aos seguidores se concordam com o tópico. Algumas destas contas publicaram sobre vários candidatos presidenciais e, depois, perguntaram aos seus seguidores para comentar se os apoiam ou não. Esta tática poderá ter como objetivo gerar mais interação ou, possivelmente, obter informações sobre as opiniões dos norte-americanos acerca da política dos EUA. Poderão estar em atividade mais contas deste tipo para intensificar a recolha de inteligência sobre os principais grupos demográficos de eleitores nos Estados Unidos.

Comparação de imagens de ecrã dividido: à esquerda um jato das forças armadas a descolar de um porta-aviões e à direita um grupo de pessoas sentadas por trás de uma barreira

Figura 12: Sockpuppets chineses solicitam opiniões sobre tópicos políticos de outros utilizadores no X

Em 2023, os atores de ciberameaças norte-coreanos roubaram centenas de milhões de dólares em criptomoedas, realizaram ataques à cadeia de fornecimento de software e visaram os seus presumíveis adversários em matéria de segurança nacional. As suas operações geram receitas para o Governo norte-coreano, em particular, para o respetivo programa de armamento, e recolhem inteligência sobre os Estados Unidos, a Coreia do Sul e o Japão.¹⁶

Infografia a mostrar os setores e países mais visados para ciberameaças.

Figura 13: Setores e países mais visados pela Coreia do Norte de junho de 2023 a janeiro de 2024 com base em dados de notificações de estados-nações das Informações sobre Ameaças da Microsoft.

Os atores cibernéticos norte-coreanos saqueiam um montante recorde de criptomoedas para gerar receitas para o Estado.

A ONU estima que os atores cibernéticos norte-coreanos roubaram mais de 3 mil milhões de USD em criptomoedas desde 2017.¹⁷ Só em 2023, os roubos totalizaram entre 600 milhões e mil milhões de USD. Segundo relatos, estes fundos roubados financiam mais de metade do programa nuclear e de mísseis do país/região, o que viabiliza a proliferação e os testes de armas da Coreia do Norte apesar das sanções.¹⁸ No último ano, a Coreia do Norte realizou numerosos testes de mísseis e exercícios militares e chegou a lançar com êxito um satélite de reconhecimento militar para o espaço em 21 de novembro de 2023.¹⁹

Três atores de ameaças monitorizados pela Microsoft, Jade Sleet, Sapphire Sleet e Citrine Sleet, concentraram-se sobretudo em alvos de criptomoedas desde junho de 2023. O Jade Sleet realizou grandes assaltos de criptomoedas, enquanto o Sapphire Sleet realizou operações de roubo de criptomoedas mais pequenas, mas mais frequentes. A Microsoft atribuiu ao Jade Sleet o roubo de, pelo menos, 35 milhões USD a uma firma de criptomoedas baseada na Estónia no início de junho de 2023. A Microsoft também atribuiu ao Jade Sleet o assalto de mais de 125 milhões USD a uma plataforma de criptomoedas baseada na Singapura um mês mais tarde. O Jade Sleet começou a comprometer casinos de criptomoedas online em agosto de 2023.

O Sapphire Sleet comprometeu consistentemente vários colaboradores, incluindo executivos e programadores, em organizações de criptomoedas, capital de risco e outras organizações financeiras. O Sapphire Sleet também desenvolveu novas técnicas, como o envio de convites de reuniões virtuais falso a conter ligações para um domínio do atacante e sites falso de recrutamento de empregos. O Citrine Sleet deu seguimento ao ataque à cadeia de abastecimento do 3CX de março de 2023 ao comprometer uma firma a jusante baseada na Turquia de criptomoedas e ativos digitais. A vítima alojava uma versão vulnerável da aplicação 3CX ligada ao comprometimento da cadeia de abastecimento.

Atores cibernéticos norte-coreanos ameaçam o setor das TI com ataques spear phishing e ataques à cadeia de fornecimento de software

Os atores de ameaças norte-coreanos também realizaram ataques à cadeia de fornecimento contra empresas de TI, o que lhes permitiu aceder a clientes a jusante. Jade Sleet utilizou repositórios do GitHub e pacotes npm adulterados maliciosamente numa campanha de ataque spear phishing com engenharia social dirigida a colaboradores de organizações de criptomoedas e tecnologia.²⁰ Os atacantes fizeram-se passar por programadores ou recrutadores, convidaram os alvos a colaborar num repositório do GitHub e convenceram-nos a clonar e executar o respetivo conteúdo, que incluía pacotes npm maliciosos. Diamond Sleet comprometeu a cadeia de fornecimento de uma empresa de TI sediada na Alemanha em agosto de 2023 e adulterou maliciosamente uma aplicação de uma empresa de TI sediada em Taiwan para realizar um ataque à cadeia de fornecimento em novembro de 2023. O Diamond Sleet e o Onyx Sleet ambos exploraram a vulnerabilidade TeamCity CVE-2023- 42793 em outubro de 2023, que permite que um atacante realize um ataque de execução de código remota e obtenha controlo administrativo do servidor. O Diamond Sleet utilizou esta técnica para comprometer centenas de vítimas em várias indústrias nos Estados Unidos e em países europeus, incluindo Reino Unido, Dinamarca, Irlanda e Alemanha. O Onyx Sleet explorou essa mesma vulnerabilidade para comprometer pelo menos 10 vítimas, incluindo um fornecedor de software na Austrália e uma agência governamental na Noruega, e utilizou ferramentas pós-comprometimento para executar payloads adicionais.

Ciberatores norte-coreanos visaram os Estados Unidos, a Coreia do Sul e os seus aliados

Os atores de ameaças norte-coreanos continuaram a visar os seus supostos adversários de segurança nacional. Esta atividade cibernética exemplificou o objetivo geopolítico da Coreia do Norte de contrariar a aliança trilateral entre os Estados Unidos, a Coreia do Sul e o Japão. Os líderes dos três países/regiões consolidaram esta parceria durante a cimeira de Camp David, em agosto de 2023. Ruby Sleet e Onyx Sleet mantiveram a tendência de visar organizações dos setores aeroespacial e da defesa nos Estados Unidos e na Coreia do Sul. Emerald Sleet manteve a sua campanha de reconhecimento e ataque spear phishing, dirigida a diplomatas e peritos na Península da Coreia que trabalham em organismos governamentais, grupos de reflexão/ONG, meios de comunicação e instituições de ensino. O Pearl Sleet continuou as suas operações a visar entidades sul-coreanas que interagem com desertores e ativistas norte-coreanos com o foco em problemas de direitos humanos norte-coreanos em junho de 2023. A Microsoft crê que o motivo por trás destas atividades é a recolha de inteligência.

Atores norte-coreanos implementam backdoors em software legítimo

Os atores de ameaças norte-coreanos também utilizaram backdoors em software legítimo e tiraram partido de vulnerabilidades existentes. No primeiro semestre de 2023, Diamond Sleet utilizou frequentemente malware VNC adulterado maliciosamente para comprometer vítimas. Diamond Sleet também retomou a utilização de malware de leitor de PDF adulterado maliciosamente em julho de 2023, uma técnica que as Informações sobre Ameaças da Microsoft analisaram numa publicação de blogue de setembro de 2022.²¹ Ruby Sleet também terá utilizado um instalador com backdoor de um programa sul-coreano de documentos eletrónicos em dezembro de 2023.

A Coreia do Norte utilizou ferramentas de IA para viabilizar atividades cibernéticas maliciosas

Os atores de ameaças norte-coreanos estão a adaptar-se à era da IA. Estão a aprender a utilizar ferramentas com tecnologia de IA assente em grandes modelos de linguagem (LLM) para tornar as suas operações mais eficientes e eficazes. Por exemplo, a Microsoft e a OpenAI observaram Emerald Sleet a utilizar LLMs para melhorar campanhas de ataque spear phishing dirigidas a peritos na Península da Coreia.²² Emerald Sleet utilizou LLMs para investigar vulnerabilidades e efetuar o reconhecimento de organizações e peritos especializados na Coreia do Norte. Emerald Sleet também utilizou LLMs para resolver problemas técnicos, realizar tarefas básicas de criação de scripts e redigir conteúdos para mensagens de ataque spear phishing. A Microsoft fez uma parceria com a OpenAI para desativar contas e ativos associados ao Emerald Sleet.

A China celebrará o 75.º aniversário da fundação da República Popular da China em outubro, e a Coreia do Norte continuará a avançar com programas chave de armas avançadas. Entretanto, com eleições na Índia, na Coreia do Sul e nos Estados Unidos, é provável que vejamos atores cibernéticos e de influência chineses, e até um certo ponto ciberatores norte-coreanos, a trabalhar para visar estas eleições.

A China irá, no mínimo, criar e amplificar conteúdo gerado por IA que beneficie os seus pontos de vista nestas eleições importantes. Embora o impacto de tal conteúdo para influenciar públicos-alvo permaneça baixo, a experimentação crescente da China no aumento de memes, vídeos e áudio continuará, e pode dar frutos no futuro. Embora os ciberatores chineses tenham realizado reconhecimento de instituições politicas dos EUA há bastante tempo, estamos preparados para ver atores de influência a interagir com americanos para gerar atividade e potencialmente pesquisar perspetivas sobre política dos EUA.

Por fim, à medida que a Coreia do Norte empreende novas políticas de governo e segue planos ambiciosos para teste de armas, podemos esperar assaltos de criptomoedas e ataques de cadeia de abastecimento cada vez mais sofisticados a visar o setor de defesa, destinados a canalizar dinheiro para o regime e facilitar o desenvolvimento de novas capacidades militares.

[1]
archive.is/0Vdez
[2]
“Flax Typhoon utiliza software legítimo para aceder discretamente a organizações de Taiwan”, 24 de agosto de 2023
[3]
Volt Typhoon visa infraestruturas críticas dos EUA com técnicas que recorrem a ferramentas nativas, 24 de maio de 2023
[4]

錯誤】網傳「台灣阿銘的公開信」？集中投給特定陣營？非郭台銘發出”, 1 de janeiro de 2024,

mygopen.com/2024/01/letter.html “【假借冠名】網傳「
台灣阿銘的公開信」？”, 11 de janeiro de 2024, tfc-taiwan.org.tw/articles/10143
[5]
taipeitimes.com/News/front/archives/2024/01/11/2003811930>“China publica vídeos falsos do presidente: fontes”, 11 de janeiro de 2024
[6]
“Deepfake It Till You Make It [Falsifique até Conseguir]”, fevereiro de 2023
[7]
“Provável campanha “Spamouflage” da RPC visa dezenas de deputados canadianos numa campanha de desinformação”, outubro de 2023,
[8]
“A China Difunde Desinformação Sobre os Incêndios no Havai Através de Novas Técnicas”, 11 de setembro de 2023
[9]
Várias fontes documentaram a campanha de propaganda contínua do Governo chinês, destinada a provocar indignação internacional com a decisão do Japão de eliminar as águas residuais nucleares resultantes do acidente nuclear de Fukushima Daiichi de 2011. Consulte: A desinformação da China alimenta a indignação pela descarga de água de Fukushima”, 31 de agosto de 2023, “Japão visado por propaganda chinesa e campanha online dissimulada”, 8 de junho de 2023
[10]
“Operação global de influenciadores dos meios de comunicação estatais chineses”, 31 de janeiro de 2022
[11]
web.archive.org/web/*/https:/gdfdhgkjhk.tistory.com/
[12]
Estas operações ocorreram meses antes de a comunidade de inteligência sul-coreana revelar uma rede distinta de sites que difundiam propaganda alinhada com o PCC e que o Serviço Nacional de Inteligência (NIS) do país/região atribuiu a duas empresas chinesas de relações públicas, a Haixun e a Haimai. Consulte: “(NCSC 합동분석협의체) 중국의 언론사 위장 웹사이트를 악용한 영향력 활동”, 13 de novembro de 2023
[13]
archive.is/2pyle
[14]
471802-train-derailment-america-s-environmental-conspiracybafybeibubf4ivvsadcgy4kjvbwynjk24rmkn7h7grtado4yvetd7c2ajbe
[15]
“Sophistication, scope, and scale: Digital threats from East Asia increase in breadth and effectiveness” [Sofisticação, âmbito e escala: as ameaças digitais da Ásia Leste aumentam em amplitude e eficácia], setembro de 2023
[16]
“Descrição Geral das Ciberameaças e Avisos da Coreia do Norte”cisa.gov/topics/cyber-threats-and-advisories/advanced-persistent-threats/north-korea
[17]
“Exclusivo: peritos da ONU investigam 58 ciberataques no valor de 3 mil milhões de USD cometidos pela Coreia do Norte”, 8 de fevereiro de 2024, “Hackers norte-coreanos roubaram 600 milhões de USD em criptomoedas em 2023”, 5 de janeiro de 2024,
[18]
“Metade do programa de mísseis norte-coreano é financiada por ciberataques e roubo de criptomoedas, afirma a Casa Branca”, 10 de maio de 2023
[19]
“Coreia do Norte afirma ter lançado o primeiro satélite espião e promete mais”, 22 de novembro de 2023
[20]
“Alerta de segurança: campanha de engenharia social visa colaboradores da indústria tecnológica”, 18 de julho de 2023
[21]
“ZINC adultera maliciosamente software open-source”, 29 de setembro de 2022
[22]
Manter-se à frente dos atores de ameaças

Panorama de Ameaças

Transferir