Küberoperatsioon: andmepüügi ja skriptimise tugi

See juhtumiuuring avaldati algselt OpenAI 2025. aasta oktoobri⁠(avaneb uues aknas) aruandes.

Tuvastasime ja blokeerisime rühma ChatGPT kontosid, millega seotud tegevus kattus avalike teadetega ohurühmade kohta, mida valdkonnas jälgitakse nimede UNK_DROPPITCH (Proofpoint) ja UTA0388 (Volexity) all. Vähemalt ühel juhul kasutati ChatGPT konto registreerimiseks e-posti aadressi, millelt oli teadete kohaselt saadetud ka andmepüügisõnumeid.

Neid kontosid haldanud ohutegijate tegevusel olid Hiina Rahvavabariigi luurevajadusi teenindavatele küberoperatsioonidele iseloomulikud tunnused: hiina keele kasutamine ning Taiwani pooljuhtide sektori, USA teadusasutuste ja mõttekodade ning Hiina Kommunistliku Partei suhtes kriitiliste etniliste ja poliitiliste rühmitustega seotud organisatsioonide sihikule võtmine. Viimaseid nimetatakse vahel „viieks mürgiks“.

Meie mudel ei loonud uusi ründevõimeid. Näib, et operaatorid kasutasid meie mudeleid peamiselt olemasolevate töövoogude mõningaseks tõhustamiseks, eelkõige andmepüügisisu koostamiseks ning oma tööriistade silumiseks või muutmiseks.

Ründajad kasutasid ChatGPT‑d kaheks põhiülesandeks: andmepüügikampaaniate sisu loomiseks mitmes keeles, sealhulgas lihtsustatud ja traditsioonilises hiina kirjas, inglise ja jaapani keeles, ning tööriistade ja pahavara arendamiseks. Nende arendustöö viitas tehniliselt pädevale, kuid mitte eriti keerukate oskustega ründajale. Näiteks arutasid nad AES-i kasutamise eri tahke ja nüansse C2-liikluse kaitsmiseks, kuid kasutasid siiski lihtsat staatilist võtit.

Ründajate tegevuskava andmepüügisisu loomiseks oli üksikasjalik ja vormellik, mis viitas selgelt piiritletud sihtrühmale. Tavaliselt lasid nad koostada lühikese ja ametlikult viisaka e-kirja, mille saatjana esitleti teadusasutuse, ettevõtte või konverentsi esindajat. Ohutegijad palusid sageli muuta teksti tooni, asendada mõisteid piirkondliku keelekasutuse järgi või lisada viiteid konkreetsetele asutustele. Kuigi need sihitud pisiparandused viitavad järjekindlale püüdele algse sisu kvaliteeti tõsta, jätsid ohutegijad parandamata mõne neid reetva üksikasja, näiteks allkirjaplokkidesse lisatud ebausutavad näidiskontaktandmed.

Nad küsisid koodilõike ja kontrollnimekirju, mis kiirendaksid rutiinseid ülesandeid. Nad palusid koodi, millega katsetada krüpteeritud edastuskanaleid (HTTPS, TLS) lihtsaks perioodiliseks majakasarnaseks sidekontrolliks; visandasid Go ja PowerShelli koodilõike protsesside loendamiseks, protsesside lõpetamiseks täitmisfaili nime järgi või keskkonnaandmete kogumiseks ning ühendasid levinud skannerid bashi/PowerShelli ümbrisskriptidega.

Samuti palusid nad mudelil soovitada lihtsaid hägustamisvõtteid ja operatsiooniturbe (OPSEC) täiustusi, nagu funktsioonide ümbernimetamine, päiste kohandamine või stringide peitmine. Mitme seansi jooksul arendasid nad lihtsaid käsu- ja juhtimissüsteemi prototüüpe, mis vastasid vähese või keskmise küpsusastmega pahavarale. Need hõlmasid ühenduse elushoidmise tsükleid, minimaalset ülesannete edastamist HTTP(S)-i kaudu ning JSON-il põhinevaid ülesande- ja tulemuseümbrikke.

Mõned ründaja Go-põhise arendustegevuse tehnilised üksikasjad kattuvad valdkonna teadetega pahavara kohta, mida jälgitakse nimede GOVERSHELL (Volexity) või HealthKick (Proofpoint) all. See viitab sellele, et nad püüdsid mudelite abil toetada oma põhipahavara arendamist.

Isikukuvandite loomise ja tööriistade arendamise kõrval uurisid operaatorid DeepSeeki abil saavutatavaid täiendavaid automatiseerimisvõimalusi. See tegevus meenutas massilise andmepüügi automatiseerimise eeltööd. Näiteks analüüsiti veebisisu, et koostada automaatselt e-kirjade sihtmärkide loend ja luua iga tuvastatud võimaliku sihtmärgi jaoks tõenäoliselt huvipakkuvat sisu. Me ei saa sõltumatult kinnitada, kas ründajad sellise automatiseerimise ka kasutusele võtsid ega millist mudelit nad sel juhul lõpuks kasutasid.

Ründajad püüdsid meie mudelite abil kavandada ja täiustada krüpteeritud C2-komponente, kaugkäskude täitmise töövooge ning kultuurikontekstile kohandatud pöördumisi. Nende peamine eesmärk oli saavutada kiirus ja lokaliseeritus, mitte uued ründevõimed. Nad genereerisid mudelitega väljundeid, mis näisid olevat mõeldud meie platvormi välise tegevuse toetamiseks mitmes operatsioonivaldkonnas:

• Krüpteeritud C2 ja kaugkäivitamine: palved koostada või parandada Go klient-server-koodi, mis sisaldaks sõnumite krüptimist, näiteks AES-GCM-i, seansivõtmete uuendamist, süsteemiteabe majakaid ning serverikonsooli PowerShelli käskude edastamiseks standardsete veebiprotokollide või WebSocketil põhineva kanali kaudu.

• Liikluse kaitse ja OPSEC-i täiustused: paluti koodi tavalistelt WebSocketi ühendustelt turvalistele WebSocketi ühendustele (wss://) ning HTTP-lt HTTPS-ile üleminekuks, mõnes katses serdikontrolli keelamiseks, liikluse CDN-i/TLS-i eesserveri abil tavaliiklusega sulandamiseks ja suuremate sõnumite töötlemiseks ilma kliendi kokkujooksmiseta.

• Luure ja protsesside juhtimine: küsiti teavet viirusetõrje tuvastamise kohta PowerShelli abil, protsesside loendamise kohta ning konkreetsete Edge'i/WebView2 protsesside lõpetamise kohta.

• Levinud skannimistööriistade seadistamine: juhised avatud lähtekoodiga tööriistade, nagu nuclei ja fscan, paigaldamiseks ning kasutamiseks kommertslikus Linuxi taristus ja tulemuste salvestamiseks, et neid hiljem üle vaadata.

• Andmepüügi- ja pöördumissisu: veenvate mitmekeelsete e-kirjade koostamine teadus- või ettevõtlusvaldkonna kontaktidele, sealhulgas kohalike tavade järgi kohandatud teemaread ja stiil.

Need tegevused kuuluvad LLM ATT&CK-i kategooriatesse, sealhulgas LLM-iga optimeeritud ründesisu koostamine, LLM-i abil anomaaliatuvastusest hoidumine, LLM-i abil tehtav kompromiteerimisjärgne tegevus, LLM-i abil tehtav luure ja tuvastamine ning LLM-i abil tehtav sotsiaalne manipuleerimine.

Sulgesime kõik selle tegevusega seotud kontod ja jagasime asjakohaseid indikaatoreid valdkonna partneritega. Ründajad püüdsid peamiselt olemasolevaid töövooge mõnevõrra tõhustada, näiteks luua saatmisvalmis andmepüügikirju ning lühendada tavapärase koodi ja automatiseerimise täiustamistsükleid. Me ei leidnud tõendeid, et mudeli väljundid oleksid võimaldanud enamat kui hästi dokumenteeritud avalikud võtted. Meie mudel ei loonud uusi ründevõimeid. Mudeli abi kasutamisel taotletud tegevuseelist pakkusid keeleline ladusus, lokaliseerimine ja järjekindlus: tõenäoliselt vähem keelevigu, kiirem siduskoodi loomine ning kiiremad parandused, kui miski ei toiminud.