Hackers norte-coreanos ampliam uso de IA para acelerar e escalar operações já existentes, diz Microsoft

A Microsoft Threat Intelligence classifica a adoção geral de IA entre os atores norte-coreanos como alta e separa os grupos em quatro estágios: emerging, expanding, accelerating e operationalized. Jade Sleet, Coral Sleet e Jasper Sleet estão no último, com IA embutida em todos os fluxos. Diamond Sleet, Onyx Sleet, Pearl Sleet e Sapphire Sleet aparecem em accelerating. Emerald Sleet está em expanding. Nenhum grupo foi colocado em emerging.

Os casos têm datas e números. Entre 8 e 12 de junho de 2026, Jade Sleet usou três empresas de fachada em ofertas de emprego falsas, mirando gente de cibersegurança, IA, blockchain e recrutamento. Onyx Sleet gerou mais de 100 PDFs de isca em agosto e setembro de 2026, dezenas por vez, em minutos, contra usuários sul-coreanos. Desde abril de 2026, Coral Sleet opera um fluxo para trojanizar repositórios privados do GitHub, capacidade que a Microsoft considera altamente provável de ter sido construída com plataforma de desenvolvimento com IA. Sapphire Sleet provavelmente usou IA no comprometimento do ecossistema Rust em agosto de 2026, com malware que fazia compilação dinâmica de .NET na pós-exploração. A Microsoft avalia que as operações seguem dirigidas por humanos, sem autonomia total, e que a IA reforça objetivos antigos, sem mudar a motivação. O post traz orientações de mitigação e detecções do Microsoft Defender.

O tema já vinha sendo coberto. Em 30 de abril de 2026, o CEVIU noticiou "Por Dentro do Lazarus: Como a Coreia do Norte usa IA para industrializar ataques a desenvolvedores", sobre o subgrupo HexagonalRodent rastreado pela Expel, que fazia engenharia social contra desenvolvedores Web3. Agora a Microsoft mostra um quadro mais amplo, com maturidade medida por grupo e casos de escala (empresas de fachada, iscas em lote, trojanização de repositórios).

Em 22 de outubro de 2026, o CEVIU publicou "Grupo ligado à China usa IA agentic ARTEX para atacar centenas de empresas e comprometer a cadeia de suprimentos da ConnectWise". O ARTEX é o mesmo framework que a Microsoft agora diz ser usado por Onyx Sleet e Pearl Sleet. Ou seja, a ferramenta aparece em operações de atores de países diferentes.

Na leitura editorial: para quem faz defesa corporativa, o ponto é velocidade. Se a isca é gerada em minutos e a infraestrutura de fachada sobe em dias, bloqueio por indicador isolado envelhece rápido. Times de empresas de cripto, finanças, TI e cadeia de software, que a Microsoft cita como alvos frequentes, devem reforçar a verificação de recrutadores e candidatos, o controle de repositórios privados e a detecção por comportamento.