AI से APT हमले रोकें: DPRK हैकर्स से सबक

02/2025 में एक क्रिप्टो एक्सचेंज से $1.5 बिलियन (Ethereum) की चोरी हुई—और 2025 में उत्तर कोरियाई (DPRK) समूहों द्वारा कम से कम $2.02 बिलियन क्रिप्टो चोरी का अनुमान सामने आया। ये संख्या केवल “क्रिप्टो की कहानी” नहीं है। यह संकेत है कि राज्य-प्रायोजित हमलावर अब धैर्य से ‘बड़ी मछली’ पकड़ते हैं, और सही मौके पर हमला करते हैं—जब सुरक्षा टीम थकी हुई हो, बदलाव चल रहे हों, या निगरानी में शोर ज्यादा हो।

यह पोस्ट हमारी “साइबर सुरक्षा में AI” सीरीज़ का हिस्सा है, और मैं इसे एक केस-स्टडी की तरह देखता/देखती हूँ: DPRK जैसे APT (Advanced Persistent Threat) आज जो रणनीतियाँ अपना रहे हैं—सप्लाई-चेन कम्प्रोमाइज, फर्जी टेक-वर्कर, AI-सहायता प्राप्त सोशल इंजीनियरिंग, और तेज़ मनी-लॉन्डरिंग—उनका मुकाबला केवल चेकलिस्ट-आधारित सुरक्षा से नहीं होगा। AI-आधारित डिटेक्शन, बिहेवियर एनालिटिक्स, और ऑटोमेटेड रिस्पॉन्स अब “अच्छा लगे तो कर लें” वाली चीज़ नहीं रही।

DPRK हमलों का पैटर्न: “धीरे चलो, बड़ा मारो”

DPRK से जुड़े साइबर अपराधियों की खासियत यह है कि वे कम हमलों में ज्यादा नुकसान कराते हैं। एक रिपोर्टिंग में 2025 के टॉप 3 क्रिप्टो कम्प्रोमाइज को कुल नुकसान का लगभग 69% बताया गया। इसका अर्थ साफ है:

• हमलावर छोटे-छोटे शिकार पर समय नष्ट नहीं कर रहे
• वे कस्टडी, वॉलेट-इन्फ्रास्ट्रक्चर, साइनिंग-वर्कफ़्लो, थर्ड-पार्टी डेवलपर जैसी “हाई-लीवरेज” जगहों पर वार करते हैं
• हमला अक्सर ऑपर्च्युनिटी-ड्रिवन होता है—जब बदलाव/डिप्लॉयमेंट/ट्रैफिक स्पाइक चल रहा हो

क्यों पारंपरिक सिक्योरिटी यहाँ चूकती है

बहुत सी टीमें अभी भी “इंडिकेटर-आधारित” सोच पर चलती हैं—यानी ज्ञात IP, ज्ञात हैश, ज्ञात TTP का मैच। APT इससे आगे निकल चुका है:

• लिविंग-ऑफ-द-लैंड टूल्स, वैध क्रेडेंशियल, और क्लाउड APIs का दुरुपयोग
• सप्लाई-चेन के जरिए ऐसे बदलाव जो “वैध” दिखते हैं
• लंबे समय तक लो-एंड-स्लो गतिविधि ताकि अलर्ट न बने

यहाँ AI का काम शुरू होता है: बिहेवियर में छोटे बदलाव पकड़ना, न कि सिर्फ “ज्ञात सिग्नेचर”।

हमलावर खुद AI का इस्तेमाल कर रहे हैं—आपको भी करना होगा

उत्तर कोरियाई “फर्जी IT-वर्कर” अभियानों और सोशल इंजीनियरिंग में LLM-टूल्स का उपयोग एक व्यावहारिक खतरा बन चुका है। मुद्दा यह नहीं कि ईमेल “अच्छी अंग्रेज़ी” में आ रहा है; मुद्दा यह है कि:

• फ़िशिंग लुअर्स ज्यादा पर्सनलाइज़्ड हैं (भूमिका, प्रोजेक्ट, टीम स्ट्रक्चर के मुताबिक)
• लाइव वीडियो इंटरव्यू/मीटिंग में इम्परसनेशन की कोशिशें बढ़ीं
• स्क्रिप्ट्स, मैक्रोज़, या छोटी-छोटी ऑटोमेशन यूटिलिटीज़ जल्दी बनती हैं

AI बनाम AI: डिफेंस में असली बढ़त कहाँ है

मेरे अनुभव में AI का सबसे अच्छा उपयोग “सब कुछ ऑटो” करने में नहीं, बल्कि सही चीज़ को जल्दी संदेह के घेरे में लाने में है। तीन जगहों पर AI डिफेंस बहुत काम करता है:

1. कम्युनिकेशन रिस्क स्कोरिंग: ईमेल/चैट की भाषा, संदर्भ, और असामान्य अनुरोध (जैसे “आज ही वॉलेट साइन कर दो”) का जोखिम स्कोर
2. यूज़र/डिवाइस बिहेवियर एनालिटिक्स (UEBA): लॉगिन टाइम, लोकेशन, डिवाइस फिंगरप्रिंट, API कॉल पैटर्न में विचलन
3. डिटेक्शन इंजीनियरिंग में को-पायलट: SOC एनालिस्ट के लिए अलर्ट ट्रायेज, रूट-कॉज क्लूज़, और टाइमलाइन ऑटो-समरी

“APT को रोकने का सबसे व्यावहारिक तरीका है कि आप ‘नॉर्मल’ को सही से मापें—और विचलन पर तेज़ प्रतिक्रिया दें।”

क्रिप्टो/फिनटेक की सीख: पैसा निकालना नहीं, निकालकर गायब होना असली खेल है

2025 में DPRK समूहों की एक बड़ी ताकत “चोरी” से ज्यादा लॉन्डरिंग रही—फंड्स को तेजी से छोटे हिस्सों में तोड़कर अलग-अलग रास्तों से घुमाना, ताकि ट्रेसिंग और डिसरप्शन मुश्किल हो। यह मॉडल पारंपरिक “एक बड़े ट्रांजैक्शन” की तुलना में जांच एजेंसियों को कम अवसर देता है।

AI यहाँ कैसे मदद करता है (क्रिप्टो नहीं, हर इंडस्ट्री में)

यह पैटर्न सिर्फ ब्लॉकचेन पर नहीं दिखता। एंटरप्राइज़ में भी हमलावर ऐसे ही करते हैं:

• डेटा एक्सफिल्ट्रेशन को छोटे-छोटे बर्स्ट में बांटना
• कई क्लाउड स्टोरेज/टोकन/सर्विस अकाउंट्स का उपयोग
• अलग-अलग जियोग्राफी/प्रॉक्सी/डिवाइस से गतिविधि

AI-आधारित सिक्योरिटी एनालिटिक्स का फायदा:

• सीक्वेंस-आधारित डिटेक्शन: अलग-अलग इवेंट्स को “कहानी” की तरह जोड़ना (जैसे: नया OAuth टोकन → unusual API calls → बड़ी संख्या में GET → आउटबाउंड ट्रैफिक स्पाइक)
• ग्राफ एनालिटिक्स: किन अकाउंट्स, टोकन, सर्विसेज़ के बीच अचानक नया संबंध बना
• रिस्क-बेस्ड ऑथेंटिकेशन: हाई-रिस्क ऑपरेशन पर स्टेप-अप MFA/री-ऑथ

फर्जी टेक-वर्कर और सप्लाई-चेन: HR और DevOps भी सिक्योरिटी परिधि में हैं

DPRK अभियानों की सबसे असहज सच्चाई यह है कि वे “हैक” के साथ-साथ भर्ती प्रक्रिया को भी हथियार बनाते हैं। फर्जी पहचान, आउटसोर्स्ड प्रोफाइल, और रिमोट जॉब इकोसिस्टम उनके लिए एंट्री पॉइंट बनते हैं।

AI के साथ व्यावहारिक कंट्रोल (बिना भर्ती को धीमा किए)

अगर आप स्केल पर हायरिंग करते हैं, तो सिर्फ मैन्युअल चेक पर्याप्त नहीं। यह सेटअप ज्यादा असरदार रहता है:

• डिवाइस ट्रस्ट: इंटरव्यू/ऑनबोर्डिंग केवल मैनेज्ड, कम्प्लायंट डिवाइस से
• वीडियो/ऑडियो रियलनेस चेक: संदिग्ध मामलों में मल्टी-स्टेप वेरिफिकेशन (मानव समीक्षा + संकेत-आधारित ऑटो-फ्लैग)
• कोड/एक्सेस मिनिमाइज़ेशन: नई जॉइनिंग को तुरंत प्रोडक्शन-क्रेडेंशियल नहीं
• AI-आधारित अनॉमली डिटेक्शन: नए कर्मचारी के एक्सेस पैटर्न—क्या वे पहले दिन ही रिपॉजिटरी/सीक्रेट्स/CI सेटिंग्स में घूम रहे हैं?

सप्लाई-चेन सुरक्षा: “थर्ड-पार्टी” ही आपकी कंपनी है

ByBit जैसे घटनाक्रम में थर्ड-पार्टी/डेवलपर कम्प्रोमाइज की बात सामने आई। आपके लिए इसका अनुवाद:

• CI/CD पाइपलाइन, पैकेज रजिस्ट्री, और बिल्ड सर्वर “क्राउन ज्वेल” हैं
• कोड साइनिंग, रिलीज़ अप्रूवल, और सीक्रेट मैनेजमेंट पर सबसे सख्त नियंत्रण चाहिए

AI यहाँ “कोड रिव्यू” नहीं, बल्कि रिलीज़ बिहेवियर समझने में मदद करता है:

• कौन सा पैकेज अचानक असामान्य डिपेंडेंसी जोड़ रहा है
• किस रिपॉजिटरी में कमिट पैटर्न बदल गया
• कौन सा बिल्ड एजेंट अचानक नेटवर्क पर बात ज्यादा कर रहा है

SOC के लिए 30-दिन का AI एक्शन प्लान (लीड्स के लिए नहीं—असल काम के लिए)

अगर आप CISO, IT लीड, या SOC मैनेजर हैं, तो DPRK-स्टाइल APT के सामने “हमारे पास EDR है” काफी नहीं। अगले 30 दिनों में ये कदम सबसे ज्यादा ROI देते हैं:

1. क्राउन ज्वेल मैपिंग: वॉलेट/पेमेंट, IAM, CI/CD, बैकअप, और एडमिन कंसोल की सूची
2. लॉग कवरेज फिक्स: IAM, SSO, VPN, एंडपॉइंट, DNS, और क्लाउड कंट्रोल-प्लेन लॉग्स एक जगह
3. AI-आधारित बेसलाइनिंग: “नॉर्मल” लॉगिन/डेटा एक्सेस/डिप्लॉयमेंट पैटर्न की बेसलाइन
4. रिस्क-बेस्ड कंट्रोल्स: हाई-रिस्क एक्शन पर स्टेप-अप MFA + जस्ट-इन-टाइम एक्सेस
5. ऑटो-रिस्पॉन्स रनबुक:
   • संदिग्ध टोकन रिवोक
   • सेशन टर्मिनेट
   • डिवाइस आइसोलेट
   • प्रभावित यूज़र के पासवर्ड/की रोटेशन
6. फिशिंग-रेड टीम ड्रिल: AI-जनरेटेड “बेहतर” फिशिंग सिमुलेशन ताकि ट्रेनिंग वास्तविक बने

यह प्लान इसलिए काम करता है क्योंकि यह APT की ताकत—धैर्य, छिपाव, और सही समय—को तेज़ डिटेक्शन + तेज़ कंटेनमेंट से तोड़ता है।

2026 की तरफ नज़र: गहरे गठबंधन, तेज़ तकनीक, और आपकी तैयारी

2024 के अंत में रूस-उत्तर कोरिया के रणनीतिक साझेदारी संकेतों और 2025 में DPRK गतिविधियों की निरंतर सफलता से एक ट्रेंड बनता है: अटैकर इकोसिस्टम अब ज्यादा नेटवर्क्ड है—टूलिंग, लॉन्डरिंग नेटवर्क, और ऑपरेशनल नॉ-हाउ साझा हो सकता है। इसका असर हर उस संगठन पर पड़ेगा जो:

• क्रिप्टो/फिनटेक में है
• सॉफ्टवेयर बनाता है (सप्लाई-चेन रिस्क)
• रिमोट हायरिंग करता है
• क्लाउड पर भारी निर्भर है

यहाँ “साइबर सुरक्षा में AI” की बात केवल मॉडर्निटी नहीं है; यह स्केल की बात है। हमलावर स्केल पर प्रयोग करते हैं—डिफेंडर को स्केल पर पहचान और प्रतिक्रिया देनी होगी।

अगला कदम व्यावहारिक रखें: अगर आपकी टीम चाहती है, तो मैं/हम आपके मौजूदा लॉग स्रोतों, IAM सेटअप, और SOC वर्कफ़्लो के आधार पर AI-ड्रिवन डिटेक्शन यूज़-केस (जैसे फर्जी-वर्कर, टोकन मिसयूज़, सप्लाई-चेन अनॉमली) की एक छोटी प्राथमिकता सूची बनाने में मदद कर सकते हैं।

अब सवाल यह नहीं कि “AI अपनाएँ या नहीं।” सवाल यह है: आप AI को किन 3 जगहों पर लगाकर APT का समय और मौके का फायदा छीनेंगे?