Кибероперация: фишинг и помощ при писане на скриптове

Този казус е публикуван първоначално в доклада на OpenAI от октомври 2025 г.⁠(отваря се в нов прозорец)

Установихме и забранихме група акаунти в ChatGPT, свързани с дейност, която се припокриваше с публични сведения за групи за киберзаплахи, проследявани в сектора като UNK_DROPPITCH (Proofpoint) и UTA0388 (Volexity). В поне един случай имейл адресът, използван за регистрацията на акаунт в ChatGPT, според сведенията е бил използван и за изпращане на фишинг съобщения.

Действащите чрез тези акаунти лица демонстрираха белези, характерни за кибероперации в услуга на разузнавателните нужди на КНР: използване на китайски език и насочване към сектора на полупроводниците в Тайван, академичните среди и мозъчните тръстове в САЩ, както и към организации, свързани с етнически и политически групи, критикуващи ККП и понякога определяни като „петте отрови“.

Нашият модел не предостави нови възможности за нападение. Изглежда, че операторите са използвали моделите ни предимно за постепенно повишаване на ефективността на съществуващите си работни процеси, особено при създаването на фишинг съдържание и отстраняването на грешки или променянето на инструментите си.

Извършителите използваха ChatGPT за две основни задачи: генериране на съдържание за фишинг кампании на няколко езика, включително опростен и традиционен китайски, английски и японски, както и помощ при разработването на инструменти и зловреден софтуер. Работата им по разработката съответстваше на технически компетентен, но неособено усъвършенстван извършител. Например те обсъждаха различни аспекти и особености на използването на AES за защита на C2 трафика, но въпреки това използваха прост статичен ключ.

Методиката на извършителите за създаване на фишинг съдържание беше подробна и шаблонна, което съответства на насочване към тясно определена демографска група. Обикновено те генерираха кратък и официално учтив имейл от името на представител на академичните среди, индустрията или дадена конференция. Извършителите често искаха корекции на тона, замяна на термини с регионално употребявани варианти или добавяне на конкретни препратки към институции. Макар тези целенасочени дребни редакции да подсказват съгласувани усилия за подобряване на първоначалното съдържание, извършителите не поправиха някои издайнически подробности, като например неправдоподобни примерни данни за контакт в подписите си.

Те поискаха фрагменти от код и контролни списъци, които да ускорят рутинните задачи. Те поискаха код за тестване на криптиран пренос (HTTPS, TLS) при просто периодично свързване от типа beacon; нахвърляха фрагменти на Go и PowerShell за изброяване на процеси, прекратяване по име на изпълнимия файл или събиране на данни за средата; и интегрираха широко достъпни скенери в обвивки на bash/PowerShell.

Те също поискаха от модела предложения за елементарно прикриване и подобрения на оперативната сигурност (OPSEC): преименуване на функции, промяна на заглавки или скриване на низове. В рамките на множество сесии те се насочиха към базови прототипи за командване и контрол, характерни за зловреден софтуер с ниска до средна степен на зрялост, включително цикли за поддържане на връзката, минимално възлагане на задачи през HTTP(S) и базирани на JSON обвивки за задачи и резултати.

Подробности по реализацията в някои от дейностите на извършителя по разработка с Go се припокриват със сведения от сектора за зловреден софтуер, проследяван като GOVERSHELL (Volexity) или HealthKick (Proofpoint). Това подсказва, че моделите са били използвани в опит да подпомогнат основната им дейност по разработване на зловреден софтуер.

Наред с работата по тези фиктивни самоличности и разработването на инструменти операторите проучваха допълнителни възможности за автоматизация чрез DeepSeek. Тази дейност приличаше на проучвателна работа за автоматизиране на масов фишинг — например чрез анализ на уеб съдържание за автоматично създаване на списък с целеви имейл адреси и генериране на съдържание, което вероятно би представлявало интерес за всяка набелязана потенциална цел. Не можем независимо да потвърдим дали извършителите са приложили подобна автоматизация и кой модел евентуално са използвали за нея.

Извършителите се опитаха да използват моделите ни за планиране и многократно усъвършенстване на криптирани C2 компоненти, работни процеси за дистанционно изпълнение на команди и съобразена с местната култура комуникация. Те отдаваха основно значение на бързината и локализацията, а не на придобиването на нови възможности за нападение. Те генерираха чрез моделите резултати, които изглеждаха предназначени да подпомогнат дейности извън нашата платформа в няколко оперативни области:

• Криптиран C2 и дистанционно изпълнение: заявки за написване или поправяне на клиент-сървърен код на Go с криптиране на съобщенията чрез методи като AES-GCM, подмяна на сесийните ключове, изпращане на системна информация от beacon компоненти и сървърна конзола за подаване на PowerShell команди през стандартни уеб протоколи или канал, базиран на WebSocket.

• Защита на трафика и подобрения на OPSEC: заявките включваха код за преминаване от обикновени към защитени WebSocket връзки (wss://) и от HTTP към HTTPS; деактивиране на проверките на сертификати при някои тестове; прикриване на трафика чрез CDN/TLS входна точка; както и обработване на по-големи съобщения без сривове на клиента.

• Разузнаване и управление на процеси: заявки за информация относно откриване на антивирусен софтуер чрез PowerShell, изброяване на процеси и прекратяване на конкретни процеси на Edge/WebView2.

• Настройване на широко достъпни инструменти за сканиране: практическа помощ за инсталиране и използване на инструменти с отворен код като nuclei и fscan в комерсиална Linux инфраструктура и запазване на резултатите за последващ преглед.

• Съдържание за фишинг и установяване на контакт: съставяне на убедителни имейли на няколко езика до представители на академичните среди или индустрията, включително теми и стил, съобразени с местните норми.

Тези дейности попадат в категории на LLM ATT&CK, включително LLM-Optimized Payload Crafting, LLM-Enhanced Anomaly-Detection Evasion, LLM-Assisted Post-Compromise Activity, LLM-Assisted Reconnaissance and Discovery и LLM-Assisted Social Engineering.

Деактивирахме всички акаунти, свързани с тази дейност, и споделихме съответните индикатори с партньори от сектора. Извършителите търсеха предимно постепенно повишаване на ефективността на съществуващите си работни процеси, включително създаване на готови за изпращане фишинг имейли и съкращаване на циклите за многократно усъвършенстване на рутинен код и автоматизация. Не открихме доказателства, че резултатите от модела са осигурили възможности извън добре документираните публични техники. Нашият модел не предостави нови възможности за нападение. Търсеното чрез помощта на модела оперативно предимство произтичаше от езиковата гладкост, локализацията и постоянството: вероятно по-малко езикови грешки, по-бързо създаване на свързващ код и по-бързи корекции при възникване на проблем.