Operación cibernética: apoyo para phishing y scripts

Este caso práctico se publicó originalmente en el informe de octubre de 2025⁠(se abre en una nueva ventana) de OpenAI.

Identificamos y bloqueamos un conjunto de cuentas de ChatGPT vinculadas con actividades que coincidían con informes públicos sobre grupos de amenazas que el sector rastrea como UNK_DROPPITCH (Proofpoint) y UTA0388 (Volexity). En al menos un caso, también se habría usado para enviar mensajes de phishing la dirección de correo electrónico con la que se registró una cuenta de ChatGPT.

Los actores de amenazas que operaban estas cuentas presentaban indicios compatibles con operaciones cibernéticas realizadas para atender las necesidades de inteligencia de la RPC: usaban el idioma chino y dirigían sus acciones al sector de semiconductores de Taiwán, instituciones académicas y centros de estudio de Estados Unidos, y organizaciones vinculadas con grupos étnicos y políticos críticos del PCCh, a veces descritos como los “cinco venenos”.

Nuestro modelo no aportó capacidades ofensivas novedosas. Al parecer, los operadores usaron nuestros modelos principalmente para mejorar de forma gradual la eficiencia de sus flujos de trabajo existentes, en especial para redactar contenido de phishing y depurar o modificar sus herramientas.

Los actores usaron ChatGPT para realizar dos tareas principales: generar contenido para campañas de phishing en varios idiomas —incluidos chino simplificado y tradicional, inglés y japonés— y ayudar a desarrollar herramientas y malware. Su trabajo de desarrollo correspondía al de un actor con competencia técnica, pero poco sofisticado. Por ejemplo, analizaron diversos aspectos y matices del uso de AES para proteger el tráfico de C2, pero aun así emplearon una clave estática sencilla.

El procedimiento de los actores para crear contenido de phishing era detallado y repetitivo, en consonancia con acciones dirigidas a un grupo demográfico muy específico. Por lo general, generaban un correo electrónico breve, formal y cortés con la identidad ficticia de una persona del ámbito académico, empresarial o de conferencias. Los actores de amenazas solían pedir ajustes de tono, sustituciones de términos según el uso regional o referencias institucionales específicas. Aunque estas microediciones dirigidas sugieren un esfuerzo coordinado por mejorar la calidad del contenido inicial, los actores de amenazas no corrigieron algunos detalles reveladores, como los datos de contacto de ejemplo poco creíbles incluidos en sus bloques de firma.

Solicitaron fragmentos de código y listas de verificación para agilizar tareas rutinarias. Solicitaron código para probar transportes cifrados (HTTPS, TLS) destinados a consultas sencillas tipo baliza; diseñaron fragmentos en Go y PowerShell para enumerar procesos, finalizarlos por el nombre del ejecutable o recopilar datos del entorno; e integraron escáneres de uso general en scripts contenedores de bash y PowerShell.

También pidieron al modelo que sugiriera mejoras sencillas de ofuscación y seguridad operativa (OPSEC): cambiar nombres de funciones, modificar encabezados u ocultar cadenas. A lo largo de varias sesiones, avanzaron hacia prototipos básicos de mando y control compatibles con malware de madurez baja o media, incluidos bucles de conexión persistente, asignación mínima de tareas mediante HTTP(S) y estructuras de tareas y resultados basadas en JSON.

Algunos detalles de implementación de las actividades de desarrollo en Go del actor coinciden con informes del sector sobre malware rastreado como GOVERSHELL (Volexity) o HealthKick (Proofpoint), lo que sugiere que intentaron usar modelos como apoyo para desarrollar su malware principal.

Además del trabajo con identidades ficticias y del desarrollo de herramientas, los operadores investigaron otras formas de automatización que podrían lograr mediante DeepSeek. Esta actividad se asemejaba a un trabajo exploratorio para automatizar el phishing masivo, por ejemplo, mediante el análisis de contenido web para generar automáticamente una lista de destinatarios y contenido que probablemente interesara a cada objetivo potencial identificado. No podemos confirmar de forma independiente si los actores implementaron alguna automatización de este tipo ni, de haberlo hecho, qué modelo usaron finalmente.

Los actores intentaron usar nuestros modelos para planificar y perfeccionar componentes de C2 cifrados, flujos de ejecución remota de comandos y comunicaciones adaptadas culturalmente, dando prioridad a la velocidad y la localización, no a nuevas capacidades ofensivas. Generaron resultados del modelo que parecían destinados a apoyar actividades fuera de nuestra plataforma en varias áreas operativas:

• C2 cifrado y ejecución remota: solicitudes para redactar o reparar código cliente-servidor en Go con cifrado de mensajes como AES-GCM, renovación de claves de sesión, balizas de información del sistema y una consola de servidor para ejecutar comandos de PowerShell mediante protocolos web estándar o un canal basado en WebSocket.

• Protección del tráfico y ajustes de OPSEC: las solicitudes incluyeron código para facilitar la migración de WebSockets sin cifrar a WebSockets seguros (wss://) y de HTTP a HTTPS; desactivar las verificaciones de certificados en algunas pruebas; disimular el tráfico mediante una interfaz de CDN/TLS; y procesar mensajes más grandes sin provocar fallas en el cliente.

• Reconocimiento y control de procesos: solicitudes de información relacionada con la detección de antivirus mediante PowerShell, la enumeración de procesos y la finalización de procesos específicos de Edge/WebView2.

• Configuración de escáneres de uso general: ayuda práctica para instalar y usar herramientas de código abierto como nuclei y fscan en infraestructura comercial de Linux, y guardar los resultados para revisarlos después.

• Contenido de phishing y contacto: redacción de correos electrónicos persuasivos en varios idiomas dirigidos a contactos académicos o empresariales, con asuntos y estilos adaptados a las normas locales.

Estas actividades corresponden a categorías de LLM ATT&CK, entre ellas Creación de cargas útiles optimizada con LLM, Evasión de la detección de anomalías mejorada con LLM, Actividad posterior a una vulneración asistida por LLM, Reconocimiento y descubrimiento asistidos por LLM e Ingeniería social asistida por LLM.

Desactivamos todas las cuentas asociadas con esta actividad y compartimos los indicadores pertinentes con socios del sector. Los actores buscaban principalmente mejorar de forma gradual la eficiencia de los flujos de trabajo existentes, lo que incluía producir correos de phishing listos para enviar y acortar los ciclos de iteración del código rutinario y la automatización. No observamos indicios de que los resultados del modelo habilitaran capacidades que superaran las técnicas públicas ampliamente documentadas; nuestro modelo no aportó capacidades ofensivas novedosas. La ventaja operativa que buscaban mediante la asistencia del modelo provenía de la fluidez lingüística, la localización y la persistencia: probablemente menos errores de idioma, código de integración más rápido y ajustes más ágiles cuando algo fallaba.