Nordkoreakopplade KONNI använde AI-stödd PowerShell-bakdörr mot utvecklare

PROJEKTDOKUMENT BLEV ETT LOCKBETE

I januari 2026 rapporterade Check Point Research om en nätfiskekampanj kopplad till KONNI, en grupp som associeras med nordkoreanska cyberoperationer. I stället för att bara rikta sig mot tidigare diplomatiska mål verkade gruppen nu även intressera sig för programutvecklare och specialister på blockkedjeteknik.

Lockbetena såg ut som vanliga projektdokument med tidtabeller, tekniska beskrivningar och budgetar. Målet var att få mottagaren att öppna ett filpaket med en skadlig Windows-genväg, som kunde starta PowerShell och installera en bakdörr.

VARFÖR UTVECKLARE?

Utvecklare inom blockkedjor kan ha åtkomst till källkod, molntjänster, API-nycklar och system med digitala tillgångar. De blir därmed intressanta mål även om det egentliga målet är en större organisation. Check Point såg prov med kopplingar till fler länder, men var prover skickats in är inte ensamt ett bevis på en omfattande lyckad attackkampanj.

TECKEN PÅ AI-STÖDD UTVECKLING

Bakdörrens PowerShell-kod innehöll ovanligt tydligt strukturerade delar och omfattande kommentarer. Enligt Check Point tydde detta starkt på att AI användes vid utvecklingen. Det är en teknisk forskningsbedömning, inte ett fullständigt protokoll över angriparens AI-samtal.

Programvaran skulle möjliggöra fortsatta åtgärder när en dator väl var komprometterad. Filpaketets flera steg gjorde det svårare att direkt se när den skadliga koden kördes.

THE PROMPTS ANALYS

Bedrägerimetoden byggde fortfarande på mänsklig tillit till trovärdiga dokument. AI kan däremot ha förkortat tiden för att utveckla den skadliga programvaran. Källkontroll, begränsade rättigheter, övervakning av skript och separata utvecklarnycklar är viktiga skydd.

Originalkälla: Check Point Research, 22 januari 2026. https://research.checkpoint.com/2026/konni-targets-developers-with-ai-malware/