Извършители на киберзаплахи: проучване на прониквания с помощта на ИИ

Този казус е публикуван първоначално в доклада на OpenAI от февруари 2025 г.⁠(отваря се в нов прозорец)

Блокирахме профили с дейност, която може да е свързана с публично известни извършители на заплахи, свързани с Корейската народнодемократична република (КНДР). Някои от тези профили извършваха дейности, включващи тактики, техники и процедури (TTP), характерни за групата за киберзаплахи VELVET CHOLLIMA (известна още като Kimsuky и Emerald Sleet)⁠(отваря се в нов прозорец), а други профили може да са били свързани с извършител, за когото надежден източник смята, че има връзка със STARDUST CHOLLIMA (известна още като APT38 и Sapphire Sleet)⁠(отваря се в нов прозорец). Открихме тези профили благодарение на сигнал от доверен партньор в сектора.

Блокираните профили използваха инструментите ни главно за търсене на информация, вероятно свързана с инструменти или операции за киберпроникване. Те проявяваха интерес и към теми, свързани с криптовалути, вероятно във връзка с дейности с финансова мотивация. Тази комбинация от финансова и кибердейност е типична за групите за киберзаплахи, свързани с КНДР.

Извършителите използваха моделите ни за помощ при програмиране и отстраняване на грешки, както и за проучване на свързан със сигурността код с отворен изходен код. Това включваше помощ при разработването и отстраняването на грешки в общодостъпни инструменти и код, които могат да се използват за атаки чрез изпробване на множество пароли срещу протокола за отдалечен работен плот (RDP), както и съдействие за използването на инструменти с отворен код за отдалечено администриране (RAT).

При отстраняването на грешки в местоположения и техники за точки за разширяване с автоматично стартиране (ASEP) в MacOS извършителят разкри междинни URL адреси за двоични файлове (компилирани изпълними файлове), които по онова време изглежда не бяха известни на доставчиците на решения за сигурност. Изпратихме междинните URL адреси на онлайн услуга за сканиране, за да улесним споделянето им с общността по киберсигурност. Двоичните файлове вече се откриват надеждно от редица доставчици, което осигурява защита на потенциалните жертви.

По-долу е показана извадка от дейностите, съпоставени с предложени по-рано разширения за големи езикови модели към рамката MITRE ATT&CK^®⁠(отваря се в нов прозорец):

• Въпроси за уязвимости в различни приложения: разузнаване с информация от големи езикови модели.

• Разработване и отстраняване на неизправности в базиран на C# RDP клиент с цел извършване на атаки чрез изпробване на множество пароли: разработка с помощта на големи езикови модели.

• Искане на код за заобикаляне на предупрежденията за сигурност с цел неупълномощен RDP достъп: разработка с помощта на големи езикови модели.

• Искане на множество PowerShell скриптове за RDP връзки, качване и изтегляне на файлове, изпълнение на код от паметта и прикриване на HTML съдържание: техники за скриптове, усъвършенствани чрез големи езикови модели; избягване на откриването на аномалии, усъвършенствано чрез големи езикови модели.

• Обсъждане на създаването и внедряването на прикрити полезни товари за изпълнение: изработване на полезни товари, оптимизирано чрез големи езикови модели.

• Търсене на методи за целеви фишинг и социално инженерство срещу инвеститори и търговци на криптовалути, както и на по-общо фишинг съдържание: социално инженерство с помощта на големи езикови модели.

• Създаване на фишинг имейли и известия, които да манипулират потребителите да разкрият чувствителна информация: социално инженерство с помощта на големи езикови модели.

• Проучване на инструменти с отворен код за отдалечено администриране (RAT): дейност след компрометиране с помощта на големи езикови модели.

Подканите и заявките на извършителя се основаваха предимно на съществуваща информация с отворен достъп, а предоставените от модела отговори или не предлагаха нови възможности, или отказваха да отговорят. Блокирахме профилите, свързани с извършителя на заплахата, и споделихме полезните му товари с общността по киберсигурност, за да затрудним допълнително операциите му.