Cyberoperation: Støtte til phishing og scripting

Denne casestudie blev oprindeligt offentliggjort i OpenAIs rapport fra oktober 2025⁠(åbner i et nyt vindue).

Vi identificerede og udelukkede en gruppe ChatGPT‑konti, som var involveret i aktivitet med overlap til offentlige rapporter om trusselsgrupper, der i branchen spores som UNK_DROPPITCH (Proofpoint) og UTA0388 (Volexity). I mindst ét tilfælde var den mailadresse, der blev brugt til at oprette en ChatGPT‑konto, angiveligt også blevet brugt til at sende phishingbeskeder.

Trusselsaktørerne bag disse konti udviste kendetegn, som stemte overens med cyberoperationer udført for at imødekomme kinesiske efterretningsbehov: brug af kinesisk og målretning mod Taiwans halvledersektor, amerikanske universiteter og tænketanke samt organisationer med tilknytning til etniske og politiske grupper, der er kritiske over for Kinas Kommunistiske Parti, og som undertiden beskrives som »de fem gifte«.

Vores model tilførte ikke nye offensive kapaciteter. Operatørerne ser primært ud til at have brugt vores modeller til at opnå mindre effektivitetsgevinster i eksisterende arbejdsgange, især ved at udforme phishingindhold og fejlfinde eller ændre deres værktøjer.

Aktørerne brugte ChatGPT til to hovedopgaver: at generere indhold til phishingkampagner på flere sprog, herunder kinesisk med både forenklede og traditionelle skrifttegn, engelsk og japansk, og at hjælpe med at udvikle værktøjer og malware. Deres udviklingsarbejde svarede til en teknisk kompetent, men ikke avanceret aktør. De drøftede eksempelvis flere aspekter og nuancer ved at bruge AES til at sikre C2-trafik, men anvendte stadig en simpel statisk nøgle.

Aktørernes fremgangsmåde til at skabe phishingindhold var detaljeret og skabelonpræget, hvilket stemte overens med målretning mod en snævert afgrænset demografisk gruppe. Typisk genererede de en kortfattet og formelt høflig mail fra en persona med tilknytning til universitetsverdenen, erhvervslivet eller en konference. Trusselsaktørerne bad ofte om at få tonen justeret, udtryk udskiftet med regionale varianter eller specifikke institutionshenvisninger tilføjet. Selvom disse målrettede mikrorettelser tyder på en målbevidst indsats for at forbedre kvaliteten af deres oprindelige indhold, undlod trusselsaktørerne at rette visse afslørende detaljer, såsom usandsynlige kontaktoplysninger i deres mailsignaturer.

De bad om kodestumper og tjeklister, der kunne gøre rutineopgaver hurtigere. De anmodede om kode til at teste krypterede transportprotokoller (HTTPS, TLS) til simpel beacon-lignende polling, skitserede Go- og PowerShell-kodestumper til at opliste processer, afslutte dem efter navnet på den eksekverbare fil eller indsamle oplysninger om miljøet og integrerede standardskannere i bash-/PowerShell-wrappers.

De bad også modellen om at foreslå enkel sløring og mindre forbedringer af den operationelle sikkerhed (OPSEC), såsom at omdøbe funktioner, justere headers eller skjule strenge. På tværs af flere sessioner arbejdede de hen imod grundlæggende command-and-control-prototyper, der svarede til malware på et lavt til mellemhøjt modenhedsniveau, herunder keep-alive-løkker, enkel opgavestyring via HTTP(S) og JSON-baserede indpakninger til opgaver og resultater.

Implementeringsdetaljer i nogle af aktørens Go-baserede udviklingsaktiviteter overlapper med brancherapporter om malware, der spores som GOVERSHELL (Volexity) eller HealthKick (Proofpoint). Det tyder på, at aktøren forsøgte at bruge modeller til at understøtte sin primære udvikling af malware.

Sideløbende med arbejdet med personaer og udviklingen af værktøjer undersøgte operatørerne mulighederne for yderligere automatisering via DeepSeek. Aktiviteten lignede indledende undersøgelser af, hvordan massephishing kunne automatiseres, eksempelvis ved at analysere webindhold for automatisk at generere en liste over mailmål sammen med indhold, der sandsynligvis ville interessere hvert identificeret potentielt mål. Vi kan ikke uafhængigt bekræfte, om aktørerne gik videre med en sådan automatisering, eller hvilken model de i givet fald endte med at bruge.

Aktørerne forsøgte at bruge vores modeller til at planlægge og videreudvikle krypterede C2-komponenter, arbejdsgange til fjernkørsel af kommandoer og kulturelt tilpasset opsøgende kommunikation. De lagde primært vægt på hastighed og lokalisering frem for nye offensive kapaciteter. De genererede modeloutput, som så ud til at skulle understøtte aktivitet uden for vores platform på flere operationelle områder:

• Krypteret C2 og fjernkørsel: anmodninger om at skrive eller reparere Go-kode til klienter og servere med beskedkryptering såsom AES-GCM, fornyelse af sessionsnøgler, beacons med systemoplysninger og en serverkonsol til at sende PowerShell-kommandoer via standardwebprotokoller eller en WebSocket-baseret kanal.

• Trafikbeskyttelse og OPSEC-justeringer: Anmodningerne omfattede kode til at skifte fra ukrypterede WebSockets til sikre WebSockets (wss://) og fra HTTP til HTTPS, deaktivering af certifikatkontrol i visse tests, camouflage af trafik via et CDN-/TLS-front-end samt håndtering af større beskeder uden klientnedbrud.

• Rekognoscering og processtyring: anmodninger om oplysninger om registrering af antivirussoftware via PowerShell, oplistning af processer og afslutning af bestemte Edge-/WebView2-processer.

• Opsætning af standardskannere: vejledning i installation og brug af open source-værktøjer som nuclei og fscan på kommerciel Linux-infrastruktur samt lagring af resultater til senere gennemgang.

• Phishing og opsøgende kommunikation: udarbejdelse af overbevisende mails på flere sprog til kontakter på universiteter eller i erhvervslivet, herunder emnelinjer og en stil tilpasset lokale normer.

Disse aktiviteter svarer til LLM ATT&CK-kategorier, herunder LLM-Optimized Payload Crafting, LLM-Enhanced Anomaly-Detection Evasion, LLM-Assisted Post-Compromise Activity, LLM-Assisted Reconnaissance and Discovery og LLM-Assisted Social Engineering.

Vi deaktiverede alle konti med tilknytning til denne aktivitet og delte relevante indikatorer med branchepartnere. Aktørerne søgte primært mindre effektivitetsgevinster i eksisterende arbejdsgange, herunder produktion af phishingmails, der var klar til afsendelse, og kortere iterationscyklusser for rutinemæssig kodning og automatisering. Vi så ingen tegn på, at modeloutput gav adgang til kapaciteter ud over veldokumenterede, offentligt kendte teknikker. Vores model tilførte ikke nye offensive kapaciteter. Den taktiske fordel, aktørerne søgte gennem hjælp fra modeller, bestod i sproglig sikkerhed, lokalisering og vedholdenhed: sandsynligvis færre sprogfejl, hurtigere integrationskode og hurtigere justeringer, når noget mislykkedes.