Actores de amenazas cibernéticas: investigación de intrusiones asistida por IA

Este caso práctico se publicó originalmente en el informe de febrero de 2025⁠(se abre en una ventana nueva) de OpenAI.

Bloqueamos cuentas cuya actividad podía estar relacionada con actores de amenazas vinculados a la República Popular Democrática de Corea (RPDC) y mencionados en informes públicos. Algunas de estas cuentas realizaron actividades con tácticas, técnicas y procedimientos (TTP) propios de un grupo de amenazas conocido como VELVET CHOLLIMA (también conocido como Kimsuky y Emerald Sleet)⁠(se abre en una ventana nueva), mientras que otras podrían estar relacionadas con un actor que, según la evaluación de una fuente fiable, está vinculado a STARDUST CHOLLIMA (también conocido como APT38 y Sapphire Sleet)⁠(se abre en una ventana nueva). Detectamos estas cuentas gracias al aviso de un socio de confianza del sector.

Las cuentas bloqueadas utilizaron principalmente nuestras herramientas para buscar información probablemente relacionada con herramientas u operaciones de intrusión informática. También mostraron interés por temas relacionados con las criptomonedas, probablemente en conexión con actividades de motivación económica. Esta combinación de actividades financieras y cibernéticas es habitual en los grupos de amenazas asociados a la RPDC.

Los actores utilizaron nuestros modelos para obtener ayuda con la programación y la depuración, así como para investigar código abierto relacionado con la seguridad. Esto incluía ayuda para depurar y desarrollar herramientas y código de acceso público que podrían utilizarse en ataques de fuerza bruta contra el Protocolo de Escritorio Remoto (RDP), así como asistencia para usar herramientas de administración remota (RAT) de código abierto.

Mientras depuraba ubicaciones y técnicas de puntos de extensibilidad de inicio automático (ASEP) para macOS, el actor reveló URL de alojamiento provisional de binarios (archivos ejecutables compilados) que, en aquel momento, parecían desconocidos para los proveedores de seguridad. Enviamos las URL de alojamiento provisional a un servicio de análisis en línea para facilitar que se compartieran con la comunidad de seguridad. Ahora, varios proveedores detectan los binarios de forma fiable, lo que permite proteger a posibles víctimas.

A continuación se muestra una selección de actividades clasificadas según las extensiones relacionadas con los LLM propuestas anteriormente para el marco MITRE ATT&CK^®⁠(se abre en una ventana nueva):

• Consultar vulnerabilidades de varias aplicaciones: reconocimiento basado en LLM.

• Desarrollar y solucionar problemas de un cliente RDP basado en C# para permitir ataques de fuerza bruta: desarrollo asistido por LLM.

• Solicitar código para eludir advertencias de seguridad y acceder sin autorización mediante RDP: desarrollo asistido por LLM.

• Solicitar numerosos scripts de PowerShell para establecer conexiones RDP, cargar y descargar archivos, ejecutar código desde la memoria y ofuscar contenido HTML: técnicas de scripting mejoradas con LLM; evasión de la detección de anomalías mejorada con LLM.

• Debatir la creación e implantación de cargas útiles ofuscadas para su ejecución: creación de cargas útiles optimizada mediante LLM.

• Buscar métodos para llevar a cabo campañas dirigidas de phishing e ingeniería social contra inversores y operadores de criptomonedas, además de crear contenido de phishing más genérico: ingeniería social respaldada por LLM.

• Crear correos electrónicos y notificaciones de phishing para manipular a los usuarios y conseguir que revelen información confidencial: ingeniería social respaldada por LLM.

• Investigar herramientas de administración remota (RAT) de código abierto: actividad posterior a la vulneración asistida por LLM.

Las instrucciones y consultas del actor se basaban principalmente en información de código abierto ya existente, y las respuestas generadas por el modelo no ofrecían ninguna capacidad novedosa o se negaban a responder. Bloqueamos las cuentas asociadas al actor de amenazas y compartimos sus cargas útiles con la comunidad de seguridad para obstaculizar aún más sus operaciones.