Επιχείρηση «ScopeCreep»: Ανάπτυξη κακόβουλου λογισμικού από ρωσόφωνο δράστη

Αυτή η μελέτη περίπτωσης δημοσιεύτηκε αρχικά στην έκθεση της OpenAI του Ιουνίου 2025⁠(ανοίγει σε νέο παράθυρο).

Αποκλείσαμε μια ομάδα λογαριασμών ChatGPT που φαινόταν να ελέγχονται από έναν ρωσόφωνο κακόβουλο παράγοντα. Ο δράστης αυτός χρησιμοποίησε τα μοντέλα μας για να λάβει βοήθεια στην ανάπτυξη και τη βελτίωση κακόβουλου λογισμικού για Windows, στην αποσφαλμάτωση κώδικα σε πολλές γλώσσες και στη δημιουργία υποδομής διοίκησης και ελέγχου.

Ο δράστης έδειξε ότι γνώριζε τους εσωτερικούς μηχανισμούς των Windows και εφάρμοζε ορισμένες πρακτικές επιχειρησιακής ασφάλειας. Επειδή η επιχείρηση επικεντρωνόταν στη χρήση ενός εργαλείου «σταυρονήματος» για παιχνίδια, στο οποίο είχε ενσωματωθεί δούρειος ίππος, και χρησιμοποιούσε τακτικές απόκρυψης, την ονομάσαμε «ScopeCreep».

Ο δράστης αυτός ακολουθούσε μια αξιοσημείωτη προσέγγιση στην επιχειρησιακή ασφάλεια. Χρησιμοποιούσε προσωρινές διευθύνσεις email για να δημιουργεί λογαριασμούς ChatGPT, περιορίζοντας κάθε λογαριασμό σε μία συνομιλία που αφορούσε μία μικρή βελτίωση του κώδικά του. Στη συνέχεια εγκατέλειπε τον αρχικό λογαριασμό και δημιουργούσε έναν νέο.

Ο δράστης διένειμε το κακόβουλο λογισμικό ScopeCreep μέσω ενός δημόσια διαθέσιμου αποθετηρίου κώδικα που παρουσιαζόταν ως το νόμιμο και δημοφιλές εργαλείο επικάλυψης σταυρονήματος Crosshair-X για βιντεοπαιχνίδια. Οι ανυποψίαστοι χρήστες που κατέβαζαν και εκτελούσαν την κακόβουλη έκδοση ενεργοποιούσαν στο σύστημά τους τον μηχανισμό φόρτωσης κακόβουλου λογισμικού, με αποτέλεσμα τη λήψη και την εκτέλεση πρόσθετων κακόβουλων αρχείων από την υποδομή του επιτιθέμενου.

Από εκεί και πέρα, το κακόβουλο λογισμικό ήταν σχεδιασμένο να ξεκινά μια διαδικασία πολλών σταδίων για να αποκτά αυξημένα προνόμια, να διατηρεί κρυφά την παρουσία του στο σύστημα, να ειδοποιεί τον δράστη και να εξάγει ευαίσθητα δεδομένα, αποφεύγοντας παράλληλα τον εντοπισμό.

Ο δράστης χρησιμοποίησε το μοντέλο μας ως βοήθημα στη σταδιακή ανάπτυξη του κακόβουλου λογισμικού, ζητώντας συνεχώς από το ChatGPT να υλοποιεί πρόσθετες συγκεκριμένες λειτουργίες. Το ScopeCreep χρησιμοποιούσε ένα εύρος τεχνικών για τη διανομή, την εκτέλεση, την αποφυγή εντοπισμού και την εξαγωγή δεδομένων, όπως:

• Ωφέλιμα φορτία C2 σχεδιασμένα να αποφεύγουν τον εντοπισμό βάσει υπογραφών.

• Κρυφή εκτέλεση μέσω πλευρικής φόρτωσης DLL.

• Συσκότιση κώδικα μέσω προσαρμοσμένης συσκευασίας με το Themida.

• Κλιμάκωση προνομίων και αποφυγή εντοπισμού.

• HTTPS μέσω της θύρας 80.

• Κλοπή διαπιστευτηρίων και συνεδριών.

• Ειδοποιήσεις προς τον επιτιθέμενο μέσω Telegram.

• Συσκότιση της δικτυακής κίνησης μέσω διακομιστών μεσολάβησης.

Παρά τις προσπάθειες του δράστη για επιχειρησιακή ασφάλεια και τους μηχανισμούς αποφυγής εντοπισμού στο ίδιο το κακόβουλο λογισμικό, καταφέραμε να εντοπίσουμε τη δραστηριότητα χάρη στη διαδικασία μας για ανίχνευση κυβερνοκατάχρησης σε μεγάλη κλίμακα. Συντονιστήκαμε με τον πάροχο φιλοξενίας κώδικα για την κατάργηση του κακόβουλου αποθετηρίου και αποκλείσαμε όλους τους λογαριασμούς ChatGPT που σχετίζονταν με αυτή τη δραστηριότητα.

Οι αλληλεπιδράσεις αυτής της ομάδας λογαριασμών με το μοντέλο κάλυπταν ένα ευρύ φάσμα εργασιών ανάπτυξης λογισμικού. Σε μία από αυτές, ο δράστης παρέθεσε ένα απόσπασμα κώδικα Go στο οποίο αντιμετώπιζε πρόβλημα με ένα αίτημα HTTPS και ζήτησε από το μοντέλο να το αποσφαλματώσει. Σε άλλη περίπτωση, ο δράστης ζήτησε βοήθεια για τη χρήση εντολών PowerShell μέσω Go ώστε να τροποποιήσει τις ρυθμίσεις του Windows Defender, αναζητώντας τρόπο να προσθέτει μέσω κώδικα εξαιρέσεις από τον έλεγχο προστασίας από ιούς.

Αντιπροσωπευτικά παραδείγματα αυτών των δραστηριοτήτων μπορούν να αντιστοιχιστούν στο πλαίσιο LLM ATT&CK ως εξής:

• Χρήση LLM για τη μεταγλώττιση ενός αρχείου, του python310.dll, ώστε ο κώδικας του δράστη να εκτελείται κάθε φορά που εκτελείται το python.exe: Ανάπτυξη με τη βοήθεια LLM.

• Επίλυση σφαλμάτων με πιστοποιητικά SSL/TLS που προορίζονταν για την εξυπηρέτηση κίνησης HTTPS στη θύρα 80: Ανάπτυξη με τη βοήθεια LLM.

• Μετεγκατάσταση, με τη βοήθεια μοντέλου, ενός διακομιστή C2 βασισμένου στο Flask σε διακομιστή WSGI έτοιμο για περιβάλλον παραγωγής: Ανάπτυξη με τη βοήθεια LLM.

• Ανάπτυξη εντολών PowerShell σε Go για την τροποποίηση των ρυθμίσεων του Windows Defender και την προσθήκη εξαιρέσεων από τον έλεγχο προστασίας από ιούς: Αποφυγή ανίχνευσης ανωμαλιών με την υποστήριξη LLM.

• Αποσφαλμάτωση κώδικα για την αποστολή ειδοποίησης σε κανάλι Telegram ελεγχόμενο από τον επιτιθέμενο όταν παραβιάζεται το σύστημα νέου θύματος: Δραστηριότητα μετά την παραβίαση με τη βοήθεια LLM.

Σε αυτό το στάδιο, ο αντίκτυπος του ScopeCreep ενδέχεται να περιορίστηκε χάρη στην άμεση αναφορά και τη στενή συνεργασία με εταίρους του κλάδου, οι οποίοι κατάφεραν να καταργήσουν το κακόβουλο αποθετήριο. Αποκλείσαμε τους λογαριασμούς OpenAI που χρησιμοποιούσε αυτός ο δράστης.

Εκτιμούμε ότι ο δράστης χρησιμοποίησε τα μοντέλα μας σε μια προσπάθεια να επιταχύνει τις εργασίες ανάπτυξης του κακόβουλου λογισμικού του. Παραδόξως, αυτό μας έδωσε επίσης την ευκαιρία να εντοπίσουμε και να ανακόψουμε την απειλή γρήγορα και, όπως φάνηκε, σε πρώιμο στάδιο.

Παρότι οι δυνατότητες αυτού του κακόβουλου λογισμικού περιλαμβάνουν την κλιμάκωση προνομίων, τη διατήρηση της παρουσίας του στο σύστημα, τη συλλογή διαπιστευτηρίων και την απομακρυσμένη πρόσβαση, δεν παρουσιάζουν ιδιαίτερη πρωτοτυπία. Αν και το κακόβουλο λογισμικό ήταν πιθανότατα ενεργό εκτός ελεγχόμενων περιβαλλόντων, καθώς ορισμένα δείγματά του εμφανίστηκαν στο VirusTotal, δεν διαπιστώσαμε ενδείξεις ευρέος ενδιαφέροντος ή εκτεταμένης διανομής.