Operation »ScopeCreep«: Malwareudvikling hos en russisktalende aktør

Denne casestudie blev oprindeligt offentliggjort i OpenAI's rapport fra juni 2025⁠(åbner i et nyt vindue).

Vi spærrede en gruppe ChatGPT‑konti, der så ud til at blive drevet af en russisktalende trusselsaktør. Aktøren brugte vores modeller til at få hjælp til at udvikle og forbedre Windows-malware, fejlfinde kode på tværs af flere programmeringssprog og opsætte sin kommando- og kontrolinfrastruktur.

Aktøren viste kendskab til Windows' interne funktioner og tog visse forholdsregler for at sikre sin operation. På grund af operationens fokus på et sigtekornsværktøj til spil med en indbygget trojaner og dens skjulte fremgangsmåder har vi døbt den »ScopeCreep«.

Denne trusselsaktør havde en bemærkelsesværdig tilgang til operationssikkerhed. Aktøren brugte midlertidige e-mailadresser til at oprette ChatGPT‑konti og begrænsede hver konto til én samtale om én mindre forbedring af sin kode. Derefter droppede aktøren den oprindelige konto og oprettede en ny.

Aktøren distribuerede ScopeCreep-malwaren via et offentligt tilgængeligt kodelager, der udgav sig for at indeholde et legitimt og populært værktøj til at vise et sigtekorn oven på videospil (Crosshair-X). Når intetanende brugere downloadede og kørte den ondsindede version, startede de malwareloaderen på deres system, så yderligere ondsindede filer blev downloadet fra angriberens infrastruktur og kørt.

Derefter var malwaren designet til at indlede en proces i flere trin for at opnå højere rettigheder, sikre vedvarende skjult adgang, underrette trusselsaktøren og eksfiltrere følsomme data uden at blive opdaget.

Trusselsaktøren brugte vores model til at få hjælp til at udvikle malwaren trinvist ved løbende at bede ChatGPT om at implementere flere specifikke funktioner. ScopeCreep benyttede en række teknikker til levering, eksekvering, undgåelse af detektion og eksfiltration, herunder:

• C2-payloads designet til at undgå signaturbaseret detektion.

• Skjult eksekvering via DLL-sideloading.

• Sløring via tilpasset pakning med Themida.

• Rettighedsforøgelse og undgåelse af detektion.

• HTTPS over port 80.

• Tyveri af loginoplysninger og sessioner.

• Notifikationer til angriberen via Telegram.

• Proxybaseret sløring af trafik.

Trods trusselsaktørens forholdsregler og malwarens indbyggede mekanismer til at undgå detektion opdagede vi aktiviteten gennem vores proces til at opdage cybermisbrug i stor skala. Vi samarbejdede med kodehostingudbyderen om at fjerne det ondsindede lager og spærrede alle ChatGPT‑konti, der var knyttet til denne aktivitet.

Denne gruppe kontis interaktioner med modellen dækkede en bred vifte af udviklingsopgaver. En af dem indeholdt et stykke Go-kode, hvor trusselsaktøren havde problemer med en HTTPS-anmodning og bad modellen om at fejlfinde den. I et andet tilfælde bad trusselsaktøren om hjælp til at bruge PowerShell-kommandoer via Go til at ændre Windows Defender-indstillinger og søgte en måde at tilføje antivirusundtagelser via kode.

Repræsentative eksempler på disse aktiviteter kan knyttes til LLM ATT&CK-rammeværket som følger:

• Brug af LLM'er til at kompilere filen python310.dll, så aktørens kode køres, hver gang python.exe køres: LLM-assisteret udvikling.

• Fejlfinding af problemer med SSL/TLS-certifikater beregnet til at håndtere HTTPS-trafik på port 80: LLM-assisteret udvikling.

• Migrering af en Flask-baseret C2-server til en produktionsklar WSGI-server med hjælp fra modellen: LLM-assisteret udvikling.

• Udvikling af PowerShell-kommandoer i Go til at ændre Windows Defender-indstillinger og tilføje antivirusundtagelser: LLM-forbedret omgåelse af anomalidetektion.

• Fejlfinding af kode, der underretter en angriberstyret Telegram-kanal, når et nyt offer kompromitteres: LLM-assisteret aktivitet efter kompromittering.

På dette tidspunkt kan konsekvenserne af ScopeCreep være blevet begrænset af hurtig indberetning og tæt samarbejde med branchepartnere, som var i stand til at fjerne det ondsindede lager. Vi spærrede de OpenAI-konti, som denne trusselsaktør brugte.

Vi vurderer, at trusselsaktøren brugte vores modeller i et forsøg på at fremskynde sin malwareudvikling. Paradoksalt nok gav det os også mulighed for hurtigt at identificere og standse truslen, tilsyneladende allerede i dens tidlige fase.

Malwarens funktioner omfatter rettighedsforøgelse, vedvarende adgang, indsamling af loginoplysninger og fjernadgang, men de er ikke særligt nyskabende. Selvom malwaren sandsynligvis var aktiv uden for testmiljøer, og nogle eksemplarer dukkede op på VirusTotal, så vi ingen tegn på bred interesse eller udbredelse.