የሳይበር ዘመቻ፦ የማስገር እና ስክሪፕት ድጋፍ

ይህ የጉዳይ ጥናት መጀመሪያ የታተመው በOpenAI የኦክቶበር 2025⁠(በአዲስ መስኮት ውስጥ ይክፈታል) ሪፖርት ውስጥ ነው።

በኢንዱስትሪው UNK_DROPPITCH (Proofpoint) እና UTA0388 (Volexity) በመባል ከሚከታተሏቸው የስጋት ቡድኖች ጋር በተያያዘ በይፋ ከተዘገቡ እንቅስቃሴዎች ጋር የሚደራረብ ተግባር የፈጸሙ የChatGPT መለያዎችን ለይተን አግደናል። ቢያንስ በአንድ ጉዳይ፣ የChatGPT መለያ ለመመዝገብ የዋለው የኢሜይል አድራሻ የማስገር መልዕክቶችን ለመላክም እንደዋለ ተዘግቧል።

እነዚህን መለያዎች ያንቀሳቀሱት የስጋት ፈጻሚዎች የቻይና ሕዝባዊ ሪፐብሊክን የስለላ ፍላጎቶች ለማሟላት ከሚካሄዱ የሳይበር ዘመቻዎች ጋር የሚጣጣሙ ምልክቶችን አሳይተዋል፤ እነዚህም የቻይንኛ ቋንቋ አጠቃቀም፣ የታይዋንን የሴሚኮንዳክተር ዘርፍ፣ የአሜሪካን የከፍተኛ ትምህርትና የፖሊሲ ጥናት ተቋማት፣ እንዲሁም የቻይናን ኮሚኒስት ፓርቲ ከሚተቹ የብሔርና የፖለቲካ ቡድኖች ጋር የተያያዙ ድርጅቶችን—አንዳንድ ጊዜ «አምስቱ መርዞች» የሚባሉትን—ዒላማ ማድረግን ያካትታሉ።

ሞዴላችን አዲስ የማጥቃት አቅም አላስገኘም። አንቀሳቃሾቹ ሞዴሎቻችንን በዋናነት ነባር የሥራ ፍሰቶቻቸውን ቀስ በቀስ ይበልጥ ቀልጣፋ ለማድረግ፣ በተለይም የማስገር ይዘት ለማዘጋጀትና መሣሪያዎቻቸውን ለማረም ወይም ለማሻሻል የተጠቀሙ ይመስላል።

ፈጻሚዎቹ ChatGPTን ለሁለት ዋና ዋና ተግባራት ተጠቅመዋል፦ ቀለል ያለና ባህላዊ ቻይንኛን፣ እንግሊዝኛንና ጃፓንኛን ጨምሮ በበርካታ ቋንቋዎች ለማስገር ዘመቻዎች ይዘት ማመንጨት፣ እንዲሁም መሣሪያዎችንና ተንኮል አዘል ሶፍትዌርን ለማዘጋጀት እገዛ ማግኘት። የልማት ሥራቸው ቴክኒካዊ ብቃት ካለው ነገር ግን የረቀቀ አቅም ከሌለው ፈጻሚ ጋር የሚጣጣም ነበር። ለምሳሌ፣ የC2 ትራፊክን ለመጠበቅ AESን ስለመጠቀም የተለያዩ ገጽታዎችና ዝርዝር ልዩነቶች ቢወያዩም፣ ቀላልና የማይለወጥ ቁልፍ ተጠቅመዋል።

ፈጻሚዎቹ የማስገር ይዘት ለመፍጠር የተጠቀሙበት የአሠራር መመሪያ ዝርዝርና ቀመር-ተኮር ሲሆን፣ በጥብቅ የተወሰነ የሕዝብ ቡድንን ዒላማ ከማድረግ ጋር የሚጣጣም ነበር። በተለምዶ ከምሁር፣ ከኢንዱስትሪ ባለሙያ ወይም ከጉባኤ ተወካይ የተላከ የሚመስል፣ አጭርና መደበኛ ጨዋነት ያለው ኢሜይል ያመነጩ ነበር። የስጋት ፈጻሚዎቹ የንግግሩን ቃና እንዲያስተካክል፣ ቃላትን በክልሉ በተለመዱ አገላለጾች እንዲተካ ወይም የተወሰኑ ተቋማዊ ማጣቀሻዎችን እንዲጨምር ብዙ ጊዜ ይጠይቁ ነበር። እነዚህ ዒላማ ያደረጉ ጥቃቅን አርትዖቶች የመጀመሪያ ይዘታቸውን ጥራት ለማሳደግ የተቀናጀ ጥረት ማድረጋቸውን ቢያመለክቱም፣ በፊርማ ክፍሎቻቸው ውስጥ የተካተቱ የማይታመኑ የናሙና አድራሻዎችን የመሳሰሉ ማንነታቸውን የሚያጋልጡ ዝርዝሮችን ሳያርሙ ቀርተዋል።

መደበኛ ተግባራትን የሚያፋጥኑ አጫጭር የኮድ ክፍሎችና የማረጋገጫ ዝርዝሮች ጠይቀዋል። በቀላል ቢከን-መሰል የሁኔታ ፍተሻ የተመሰጠሩ የውሂብ ማስተላለፊያዎችን (HTTPS፣ TLS) ለመፈተሽ ኮድ ጠይቀዋል፤ ሂደቶችን ለመዘርዘር፣ በተፈጻሚ ፋይል ስም ሂደትን ለማቋረጥ ወይም የአካባቢ ዝርዝሮችን ለመሰብሰብ የGo እና PowerShell ኮድ ክፍሎችን ነድፈዋል፤ እንዲሁም በቀላሉ የሚገኙ ስካነሮችን ከbash / PowerShell ማሸጊያዎች ጋር አገናኝተዋል።

እንዲሁም ተግባራትን ለማደብዘዝና የኦፕሬሽን ደኅንነትን (OPSEC) ለማሻሻል ቀላል ለውጦችን፣ ለምሳሌ የፋንክሽን ስሞችን መቀየር፣ ራስጌዎችን ማስተካከል ወይም ሕብረቁምፊዎችን መደበቅን፣ እንዲጠቁም ሞዴሉን ጠይቀዋል። በበርካታ ክፍለ ጊዜያት፣ ከዝቅተኛ እስከ መካከለኛ የብስለት ደረጃ ካለው ተንኮል አዘል ሶፍትዌር ጋር የሚጣጣሙ መሠረታዊ የትዕዛዝና ቁጥጥር ናሙናዎችን ለመገንባት ጥረዋል፤ እነዚህም ግንኙነትን የሚያስቀጥሉ ዙሮችን፣ በHTTP(S) በኩል አነስተኛ ትዕዛዞችን መላክን እና በJSON ላይ የተመሠረቱ የተግባር / ውጤት ጥቅሎችን ያካትታሉ።

በአንዳንድ የፈጻሚው Go-ተኮር የልማት ሥራዎች ውስጥ ያሉ የአተገባበር ዝርዝሮች በኢንዱስትሪው GOVERSHELL (Volexity) ወይም HealthKick (Proofpoint) በመባል ስለሚከታተሉ ተንኮል አዘል ሶፍትዌሮች ከተዘገበው መረጃ ጋር ይደራረባሉ። ይህም ሞዴሎችን ዋናውን የተንኮል አዘል ሶፍትዌር ልማታቸውን ለመደገፍ ለመጠቀም መሞከራቸውን ይጠቁማል።

ከዚህ የሐሰት ማንነት ዝግጅትና የመሣሪያ ልማት ጎን ለጎን፣ አንቀሳቃሾቹ በDeepSeek አማካይነት ሊከናወኑ የሚችሉ ተጨማሪ አውቶሜሽን ዘዴዎችን አጥንተዋል። ይህ እንቅስቃሴ የጅምላ ማስገርን በራስ-ሰር ለማከናወን የሚደረግ የፍተሻ ሥራ ይመስል ነበር። ለምሳሌ፣ የድር ይዘትን በመተንተን የኢሜይል ዒላማዎች ዝርዝርና ለእያንዳንዱ የተለየ ዒላማ ሊስብ የሚችል የመነጨ ይዘት በራስ-ሰር ማዘጋጀትን ያካትታል። ፈጻሚዎቹ እንዲህ ያለውን አውቶሜሽን በተግባር መጠቀማቸውን፣ ከተጠቀሙም በመጨረሻ የትኛውን ሞዴል እንደተጠቀሙ በገለልተኛነት ማረጋገጥ አልቻልንም።

ፈጻሚዎቹ አዲስ የማጥቃት አቅም ከማግኘት ይልቅ ለፍጥነትና ከአካባቢው ሁኔታ ጋር ለማጣጣም ቅድሚያ በመስጠት፣ የተመሰጠሩ የC2 ክፍሎችን፣ የርቀት ትዕዛዝ ማስፈጸሚያ የሥራ ፍሰቶችንና ከባህሉ ጋር የተጣጣሙ የግንኙነት መልዕክቶችን ለማቀድና በተደጋጋሚ ለማሻሻል ሞዴሎቻችንን ለመጠቀም ሞክረዋል። በበርካታ የኦፕሬሽን ዘርፎች ከመድረካችን ውጭ የሚከናወን እንቅስቃሴን ለመደገፍ የታሰቡ የሚመስሉ የሞዴል ውጤቶችን አመንጭተዋል፦

• የተመሰጠረ C2 እና የርቀት ማስፈጸሚያ፦ እንደ AES-GCM ያለ የመልዕክት ምስጠራ፣ የክፍለ ጊዜ ቁልፍ መቀየር፣ የሥርዓት መረጃ ቢከኖች፣ እንዲሁም PowerShell ትዕዛዞችን በመደበኛ የድር ፕሮቶኮሎች ወይም WebSocket-ተኮር ቻናል ለመስጠት የሚያገለግል የአገልጋይ ኮንሶል ያለውን የGo ደንበኛ-አገልጋይ ኮድ እንዲያዘጋጅ ወይም እንዲያርም የቀረቡ ጥያቄዎች።

• የትራፊክ ጥበቃና የOPSEC ማሻሻያዎች፦ ጥያቄዎቹ ከተራ WebSockets ወደ ደኅንነቱ የተጠበቀ WebSockets (wss://) እና ከHTTP ወደ HTTPS መሸጋገርን የሚደግፍ ኮድ፣ በአንዳንድ ፈተናዎች የምስክር ወረቀት ማረጋገጫዎችን ማሰናከል፣ ትራፊክን በCDN / TLS የፊት ጫፍ በኩል እንዲመሳሰል ማድረግ፣ እንዲሁም ደንበኛው ሳይበላሽ ትላልቅ መልዕክቶችን ማስተናገድን ያካትታሉ።

• ቅኝትና የሂደት ቁጥጥር፦ በPowerShell አማካይነት ጸረ-ቫይረስ ሶፍትዌርን ከማግኘትና ሂደቶችን ከመዘርዘር ጋር የተያያዘ መረጃ፣ እንዲሁም የተወሰኑ Edge / WebView2 ሂደቶችን እንዲያቋርጥ የቀረቡ ጥያቄዎች።

• በቀላሉ የሚገኙ ስካነሮችን ማዋቀር፦ እንደ nuclei እና fscan ያሉ ክፍት ምንጭ መሣሪያዎችን በንግድ Linux መሠረተ ልማት ላይ ስለመጫንና ስለመጠቀም፣ እንዲሁም ውጤቶችን በኋላ ለመመርመር ስለማስቀመጥ የአሠራር እገዛ።

• የማስገርና የግንኙነት ይዘት፦ የርዕስ መስመሮችንና ከአካባቢው ልማድ ጋር የተጣጣመ የአጻጻፍ ዘይቤን ጨምሮ፣ ለምሁራን ወይም ለኢንዱስትሪ እውቂያዎች አሳማኝ ኢሜይሎችን በበርካታ ቋንቋዎች ማዘጋጀት።

እነዚህ እንቅስቃሴዎች LLM-Optimized Payload Crafting፣ LLM-Enhanced Anomaly-Detection Evasion፣ LLM-Assisted Post-Compromise Activity፣ LLM-Assisted Reconnaissance and Discovery እና LLM-Assisted Social Engineeringን ጨምሮ ከLLM ATT&CK ምድቦች ጋር ይጣጣማሉ።

ከዚህ እንቅስቃሴ ጋር የተያያዙ መለያዎችን በሙሉ አሰናክለናል፤ ተዛማጅ ጠቋሚዎችንም ለኢንዱስትሪ አጋሮች አጋርተናል። ፈጻሚዎቹ በዋናነት ነባር የሥራ ፍሰቶቻቸውን ቀስ በቀስ ይበልጥ ቀልጣፋ ለማድረግ ፈልገዋል፤ ይህም ወዲያው ለመላክ ዝግጁ የሆኑ የማስገር ኢሜይሎችን ማዘጋጀትና ለመደበኛ ኮድና አውቶሜሽን የማሻሻያ ዑደቶችን ማሳጠርን ያካትታል። የሞዴል ውጤቶቹ በይፋ በስፋት ከተዘገቡ ቴክኒኮች በላይ የሆነ አቅም እንዳስገኙ የሚያሳይ ማስረጃ አላየንም፤ ሞዴላችን አዲስ የማጥቃት አቅም አላስገኘም። በሞዴል እገዛ ሊያገኙት የፈለጉት የአሠራር ጥቅም ከቋንቋ ቅልጥፍና፣ ከአካባቢው ሁኔታ ጋር ከማጣጣምና ከጽናት የመጣ ነበር፤ ይህም የቋንቋ ስህተቶችን መቀነስ፣ አገናኝ ኮድን በፍጥነት ማዘጋጀት እና አንድ ነገር ሲከሽፍ በፍጥነት ማስተካከል ነው።