Κυβερνοεπιχείρηση: εργαλεία κακόβουλου λογισμικού ρωσόφωνων δραστών
Η OpenAI απέκλεισε λογαριασμούς που πιθανότατα συνδέονταν με ρωσόφωνες εγκληματικές ομάδες και χρησιμοποιούσαν AI για φορτωτές κακόβουλου λογισμικού, επίπεδα αποφυγής εντοπισμού, σενάρια κλοπής διαπιστευτηρίων και υποδομές C2.
Αυτή η μελέτη περίπτωσης δημοσιεύτηκε αρχικά στην έκθεση Οκτωβρίου 2025(ανοίγει σε νέο παράθυρο) της OpenAI.
Δράστης
Αποκλείσαμε λογαριασμούς ChatGPT που επιχειρούσαν να χρησιμοποιήσουν το μοντέλο για την ανάπτυξη και τη βελτίωση κακόβουλου λογισμικού, όπως ένα trojan απομακρυσμένης πρόσβασης, εργαλεία υποκλοπής διαπιστευτηρίων και λειτουργίες αποφυγής εντοπισμού. Οι λογαριασμοί αυτοί φαίνεται να συνδέονται με ρωσόφωνες εγκληματικές ομάδες, καθώς τους παρατηρήσαμε να δημοσιεύουν στοιχεία των δραστηριοτήτων τους σε κανάλι του Telegram αφιερωμένο σε τέτοιους δράστες. Βάσει της έρευνάς μας, εκτιμούμε ότι αυτή η δραστηριότητα συνδεόταν με έναν ρωσόφωνο εκπρόσωπο που διαχειριζόταν πολλούς λογαριασμούς και αξιοποιούσε υποδομές διακομιστών μεσολάβησης και προσωρινής φιλοξενίας.
Συμπεριφορά
Αυτός ο φορέας απειλής χρησιμοποίησε πολλούς λογαριασμούς ChatGPT κυρίως για τη δημιουργία πρωτοτύπων και την αντιμετώπιση προβλημάτων σε τεχνικά στοιχεία που διευκολύνουν ενέργειες μετά την παραβίαση και την κλοπή διαπιστευτηρίων — δραστηριότητες ευρέως γνωστές για φορείς απειλής αυτού του τύπου. Το μοντέλο αρνήθηκε άμεσα αιτήματα δημιουργίας κακόβουλου περιεχομένου. Έτσι, η συνήθης χρήση του μοντέλου από τον εκπρόσωπο περιλάμβανε την παραγωγή επιμέρους τμημάτων κώδικα, όπως τη μετατροπή μεταγλωττισμένων εκτελέσιμων αρχείων σε shellcode, τον σχεδιασμό φορτωτών που εκτελούνται στη μνήμη ή την ανάλυση διαπιστευτηρίων προγραμμάτων περιήγησης, τα οποία ο φορέας απειλής πιθανότατα συνδύαζε κατόπιν σε κακόβουλες ροές εργασίας.
Ο φορέας απειλής χρησιμοποίησε επίσης τα μοντέλα μας για τη δημιουργία κώδικα απόκρυψης και μοτίβων «crypter», όπως η εισαγωγή εντολών συμπλήρωσης και άχρηστων ακολουθιών, η παρακολούθηση του προχείρου και απλά βοηθητικά εργαλεία εξαγωγής δεδομένων, όπως ένα bot μεταφόρτωσης στο Telegram και σενάρια αρχειοθέτησης και αποστολής. Αυτά τα αποτελέσματα δεν είναι εγγενώς κακόβουλα, εκτός εάν χρησιμοποιηθούν με τέτοιον τρόπο από φορέα απειλής εκτός της πλατφόρμας μας.
Ο φορέας απειλής χρησιμοποίησε το ChatGPT κυρίως για τεχνικές εργασίες, όπως χειρισμό χαμηλού επιπέδου PE / Win32 API και cookie μέσω DPAPI / AES GCM, καθώς και αυτοματοποίηση Chrome DevTools / CDP. Ο φορέας απειλής υπέβαλε αιτήματα διαφορετικών επιπέδων πολυπλοκότητας: πολλά απαιτούσαν βαθιά γνώση της πλατφόρμας Windows και επαναληπτικό εντοπισμό σφαλμάτων, ενώ άλλα αυτοματοποιούσαν κοινότυπες εργασίες, όπως η μαζική δημιουργία κωδικών πρόσβασης και η υποβολή αιτήσεων εργασίας μέσω σεναρίων. Ο εκπρόσωπος χρησιμοποίησε μικρό αριθμό λογαριασμών ChatGPT και βελτίωνε επαναληπτικά τον ίδιο κώδικα σε διαφορετικές συνομιλίες, ένα μοτίβο που συνάδει με συνεχή ανάπτυξη και όχι με περιστασιακές δοκιμές.
Αποτελέσματα
Τα μοντέλα μας δεν χρησιμοποιήθηκαν για την εκτέλεση εργαλείων ή ροών εργασίας του φορέα απειλής και δεν μπορούμε να επαληθεύσουμε ανεξάρτητα οποιαδήποτε δραστηριότητα εκτός πλατφόρμας. Αυτός ο φορέας απειλής επιχείρησε να χρησιμοποιήσει τα μοντέλα μας για την ανάπτυξη και τη βελτίωση επιθετικών εργαλείων και επιχειρησιακών ροών εργασίας που φαίνεται να διευκολύνουν την κλοπή διαπιστευτηρίων και κρυπτογραφικών περιουσιακών στοιχείων, τη συγκαλυμμένη εκτέλεση κώδικα και τη διαχείριση μυστικών υποδομών.
Συγκεκριμένα, χρησιμοποίησε το ChatGPT για τη δημιουργία και την επαναληπτική βελτίωση λειτουργικού κώδικα και οδηγιών ανάπτυξης για εκτέλεση στη μνήμη και φορτωτές shellcode, παρακάμψεις UAC / SmartScreen / Mark-of-the-Web, εξαγωγή διαπιστευτηρίων / cookie από προγράμματα περιήγησης και βασικό κώδικα αποκρυπτογράφησης με σύνδεση σε εφαρμογή, ανάλυση πορτοφολιών LevelDB και εργαλεία υποκλοπής / αντικατάστασης προχείρου με εξαγωγή δεδομένων, καθώς και στοιχεία απομακρυσμένης πρόσβασης (RAT), όπως εξομοίωση βίντεο και εισόδου. Σύμφωνα με τα μέτρα ασφαλείας τους, τα μοντέλα μας αρνήθηκαν αιτήματα που ήταν σαφώς κακόβουλα και δεν είχαν καμία νόμιμη εφαρμογή.
Αντιπροσωπευτικά παραδείγματα αυτών των δραστηριοτήτων μπορούν να αντιστοιχιστούν στο πλαίσιο LLM ATT&CK ως εξής:
Δραστηριότητα | Κατηγορία πλαισίου LLM ATT&CK |
|---|---|
Μετατροπή αρχείων EXE σε shellcode ανεξάρτητο θέσης, δημιουργία φορτωτών που εκτελούνται στη μνήμη (VirtualAlloc / WriteProcessMemory / απομακρυσμένο νήμα) και μετατροπές γλωσσών για αλυσίδες εργαλείων φορτωτών. | Δημιουργία ωφέλιμου φορτίου βελτιστοποιημένη μέσω LLM |
Προσθήκη επιπέδων απόκρυψης / συσκευασίας, crypter και τεχνικών που πιθανότατα αποσκοπούν στην αλλοίωση υπογραφών PE ή στην απόκρυψη ωφέλιμων φορτίων από συστήματα AV/EDR με άλλους τρόπους. | Αποφυγή εντοπισμού ανωμαλιών με ενίσχυση από LLM |
Δημιουργία σεναρίων και προγραμματιστικού κώδικα που πιθανότατα αποσκοπούν στην εξαγωγή / αποκρυπτογράφηση διαπιστευτηρίων και cookie προγραμμάτων περιήγησης, στην ανάλυση βάσεων LevelDB πορτοφολιών, στην παρακολούθηση ή αντικατάσταση του περιεχομένου του προχείρου και στην εξαγωγή δεδομένων μέσω καναλιών bot, όπως το Telegram. | Δραστηριότητα μετά την παραβίαση με τη βοήθεια LLM |
Δημιουργία και βελτίωση υποδομών C2 και διοχέτευσης, όπως αντίστροφοι διακομιστές μεσολάβησης, διαμορφώσεις SOCKS5 / OpenVPN, διοχέτευση απομακρυσμένης επιφάνειας εργασίας και οδηγίες εντοπισμού σφαλμάτων / ανάπτυξης για απομακρυσμένη μετάδοση ροής και εξομοίωση εισόδου. | Χαρτογράφηση υποδομών με καθοδήγηση LLM |
Αντίκτυπος
Απενεργοποιήσαμε όλους τους λογαριασμούς που συνδέονταν με αυτή τη δραστηριότητα και κοινοποιήσαμε τους σχετικούς δείκτες σε συνεργάτες του κλάδου. Δεν βρήκαμε στοιχεία που να δείχνουν ότι η πρόσβαση στα μοντέλα μας παρείχε σε αυτούς τους δράστες νέες δυνατότητες ή κατευθύνσεις τις οποίες δεν θα μπορούσαν να έχουν βρει σε πολυάριθμες δημόσια διαθέσιμες πηγές. Τα μοντέλα μας αρνήθηκαν άμεσα αιτήματα για κώδικα εκμετάλλευσης ευπαθειών και keylogger.