Actors d'amenaces cibernètiques: recerca sobre intrusions assistida per IA

Aquest estudi de cas es va publicar originalment a l'informe d'OpenAI de febrer de 2025⁠(s'obre en una finestra nova).

Vam bloquejar comptes que mostraven activitat possiblement associada a actors d'amenaces vinculats a la República Popular Democràtica de Corea (RPDC) dels quals s'havia informat públicament. Alguns d'aquests comptes participaven en activitats amb tàctiques, tècniques i procediments coherents amb els d'un grup d'amenaces conegut com a VELVET CHOLLIMA (també conegut com a Kimsuky i Emerald Sleet)⁠(s'obre en una finestra nova), mentre que altres comptes podien estar relacionats amb un actor que, segons l'avaluació d'una font fiable, estava vinculat a STARDUST CHOLLIMA (també conegut com a APT38 i Sapphire Sleet)⁠(s'obre en una finestra nova). Vam detectar aquests comptes gràcies a l'avís d'un soci de confiança del sector.

Els comptes bloquejats utilitzaven principalment les nostres eines per buscar informació probablement relacionada amb eines o operacions d'intrusió cibernètica. També van mostrar interès per temes relacionats amb les criptomonedes, probablement en el marc d'activitats amb motivacions econòmiques. Aquesta combinació d'activitat financera i cibernètica és habitual entre els grups d'amenaces associats a la RPDC.

Els actors van utilitzar els nostres models per obtenir ajuda amb la programació i la depuració, i per investigar codi de font oberta relacionat amb la seguretat. Això incloïa ajuda per depurar i desenvolupar eines i codi disponibles públicament que es podien utilitzar per fer atacs de força bruta contra el protocol d'escriptori remot (RDP), així com ajuda per utilitzar eines d'administració remota (RAT) de font oberta.

Mentre depurava ubicacions de punts d'extensibilitat d'inici automàtic (ASEP) i tècniques per a macOS, l'actor va revelar URL de preparació de binaris (fitxers executables compilats) que en aquell moment semblaven desconeguts per als proveïdors de seguretat. Vam enviar les URL de preparació a un servei d'anàlisi en línia per facilitar que es compartissin amb la comunitat de seguretat. Ara diversos proveïdors detecten els binaris de manera fiable, cosa que protegeix les possibles víctimes.

A continuació es mostra una mostra d'activitat classificada segons les extensions relacionades amb els LLM proposades anteriorment per al marc MITRE ATT&CK^®⁠(s'obre en una finestra nova):

• Preguntes sobre vulnerabilitats en diverses aplicacions: reconeixement basat en LLM.

• Desenvolupament i resolució de problemes d'un client RDP basat en C# per permetre atacs de força bruta: desenvolupament assistit per LLM.

• Sol·licitud de codi per evitar els avisos de seguretat en accessos RDP no autoritzats: desenvolupament assistit per LLM.

• Sol·licitud de nombrosos scripts de PowerShell per establir connexions RDP, carregar i baixar fitxers, executar codi des de la memòria i ofuscar contingut HTML: tècniques de scripting millorades amb LLM; evasió millorada amb LLM de la detecció d'anomalies.

• Debat sobre la creació i el desplegament de càrregues útils ofuscades per executar-les: creació de càrregues útils optimitzada amb LLM.

• Cerca de mètodes per dur a terme pesca dirigida i enginyeria social contra inversors i operadors de criptomonedes, així com per crear contingut de pesca més genèric: enginyeria social amb suport d'LLM.

• Creació de correus electrònics i notificacions de pesca per manipular els usuaris perquè revelin informació confidencial: enginyeria social amb suport d'LLM.

• Investigació d'eines d'administració remota (RAT) de font oberta: activitat posterior a la intrusió assistida per LLM.

Les instruccions i consultes de l'actor es basaven principalment en informació de font oberta existent, i les generacions proporcionades pel model no oferien cap capacitat nova o bé es negaven a respondre. Vam bloquejar els comptes associats a l'actor d'amenaces i vam compartir les seves càrregues útils amb la comunitat de seguretat per dificultar encara més les seves operacions.