عملیات «ScopeCreep»: توسعهٔ بدافزار توسط عامل روسی‌زبان

این مطالعهٔ موردی نخستین بار در گزارش ژوئن ۲۰۲۵⁠(در یک پنجره جدید باز می‌شود) OpenAI منتشر شد.

ما مجموعه‌ای از حساب‌های ChatGPT را مسدود کردیم که به نظر می‌رسید یک عامل تهدید روسی‌زبان آن‌ها را اداره می‌کند. این عامل از مدل‌های ما برای کمک به توسعه و بهبود بدافزار ویندوز، اشکال‌زدایی کد به چندین زبان و راه‌اندازی زیرساخت فرماندهی و کنترل خود استفاده می‌کرد.

این عامل با سازوکارهای داخلی ویندوز آشنا بود و برخی ملاحظات امنیت عملیاتی را رعایت می‌کرد. با توجه به تمرکز این عملیات بر استفاده از یک ابزار «نشانه‌گیر» بازی که به تروجان آلوده شده بود و تاکتیک‌های پنهان‌کارانهٔ آن، نام «ScopeCreep» را برایش انتخاب کردیم.

این عامل تهدید رویکرد قابل‌توجهی به امنیت عملیاتی داشت. او با نشانی‌های ایمیل موقت در ChatGPT حساب باز می‌کرد و استفاده از هر حساب را به یک گفت‌وگو دربارهٔ یک بهبود جزئی در کد خود محدود می‌کرد. سپس حساب اولیه را کنار می‌گذاشت و حساب تازه‌ای می‌ساخت.

این عامل بدافزار ScopeCreep را از طریق یک محل نگهداری عمومی کد توزیع می‌کرد که خود را به‌جای ابزار معتبر و محبوب Crosshair-X برای نمایش نشانه‌گیر روی صفحهٔ بازی‌های ویدئویی جا می‌زد. کاربران بی‌خبری که نسخهٔ مخرب را دانلود و اجرا می‌کردند، بارگذار بدافزار را روی سیستم خود فعال می‌کردند؛ در نتیجه، فایل‌های مخرب بیشتری از زیرساخت مهاجم دانلود و اجرا می‌شد.

بدافزار طوری طراحی شده بود که از آن نقطه، فرایندی چندمرحله‌ای را برای ارتقای سطح دسترسی، ماندگاری پنهانی، اطلاع‌رسانی به عامل تهدید و سرقت داده‌های حساس آغاز کند و در عین حال از شناسایی بگریزد.

این عامل تهدید از مدل ما برای توسعهٔ مرحله‌به‌مرحلهٔ بدافزار کمک می‌گرفت و پیوسته از ChatGPT می‌خواست قابلیت‌های مشخص دیگری را پیاده‌سازی کند. ScopeCreep طیفی از روش‌ها را برای رساندن بدافزار، اجرا، گریز از شناسایی و سرقت داده به کار می‌گرفت، از جمله:

• محموله‌های فرماندهی و کنترل (C2) که برای گریز از شناسایی مبتنی بر امضا طراحی شده بودند.

• اجرای پنهانی از طریق بارگذاری جانبی DLL.

• مبهم‌سازی از طریق بسته‌بندی سفارشی با Themida.

• ارتقای سطح دسترسی و گریز از شناسایی.

• استفاده از HTTPS روی درگاه ۸۰.

• سرقت اطلاعات ورود و نشست‌ها.

• ارسال اعلان به مهاجم از طریق تلگرام.

• مبهم‌سازی ترافیک با استفاده از پراکسی.

با وجود تلاش‌های عامل تهدید برای حفظ امنیت عملیاتی و سازوکارهای گریز از شناسایی در خود بدافزار، توانستیم با تکیه بر فرایند شناسایی سوءاستفاده‌های سایبری در مقیاس وسیع، این فعالیت را شناسایی کنیم. با ارائه‌دهندهٔ خدمات میزبانی کد برای حذف محل نگهداری کد مخرب هماهنگ شدیم و همهٔ حساب‌های ChatGPT مرتبط با این فعالیت را مسدود کردیم.

تعاملات این مجموعه حساب با مدل، طیف گسترده‌ای از کارهای توسعه را در بر می‌گرفت. در یکی از این تعاملات، عامل تهدید قطعه‌کدی به زبان Go ارائه کرده بود که در اجرای یک درخواست HTTPS مشکل داشت و از مدل خواسته بود آن را اشکال‌زدایی کند. در موردی دیگر، عامل تهدید برای تغییر تنظیمات Windows Defender از طریق اجرای دستورهای PowerShell در Go کمک خواست؛ او به دنبال راهی بود تا به‌صورت برنامه‌نویسی‌شده موارد استثنا را به آنتی‌ویروس اضافه کند.

نمونه‌های شاخص این فعالیت‌ها را می‌توان به شکل زیر با چارچوب ATT&CK برای الگوهای زبانی بزرگ (LLM) تطبیق داد:

• استفاده از الگوهای زبانی بزرگ (LLM) برای کامپایل فایل python310.dll به‌گونه‌ای که با هر بار اجرای python.exe، کد مهاجم اجرا شود: توسعه به کمک الگوهای زبانی بزرگ (LLM).

• رفع خطاهای گواهی‌های SSL/TLS که برای ارائهٔ ترافیک HTTPS روی درگاه ۸۰ در نظر گرفته شده بودند: توسعه به کمک الگوهای زبانی بزرگ (LLM).

• انتقال سرور فرماندهی و کنترل مبتنی بر Flask به یک سرور WSGI آمادهٔ بهره‌برداری، با کمک مدل: توسعه به کمک الگوهای زبانی بزرگ (LLM).

• توسعهٔ دستورهای PowerShell در Go برای تغییر تنظیمات Windows Defender و افزودن موارد استثنا به آنتی‌ویروس: تقویت گریز از تشخیص ناهنجاری با الگوهای زبانی بزرگ (LLM).

• اشکال‌زدایی کدی که هنگام نفوذ به سیستم قربانی جدید، به یک کانال تلگرام تحت کنترل مهاجم اطلاع می‌دهد: فعالیت پس از نفوذ به کمک الگوهای زبانی بزرگ (LLM).

در این مرحله، گزارش‌دهی سریع و همکاری نزدیک با شرکای صنعت که توانستند محل نگهداری کد مخرب را حذف کنند، ممکن است پیامدهای ScopeCreep را کاهش داده باشد. ما حساب‌های OpenAI مورد استفادهٔ این مهاجم را مسدود کردیم.

ارزیابی ما این است که این عامل تهدید از مدل‌های ما برای تلاش در جهت تسریع عملیات توسعهٔ بدافزار خود استفاده کرده است. اما همین استفاده فرصتی برای ما فراهم کرد تا تهدید را به‌سرعت و در مرحله‌ای که ظاهراً هنوز آغاز کار بود، شناسایی و مختل کنیم.

هرچند قابلیت‌های این بدافزار شامل ارتقای سطح دسترسی، ماندگاری، جمع‌آوری اطلاعات ورود و دسترسی از راه دور است، این قابلیت‌ها چندان نوآورانه نیستند. اگرچه این بدافزار احتمالاً در محیط‌های واقعی فعال بود و برخی نمونه‌های آن در VirusTotal دیده شده بود، شواهدی از توجه یا توزیع گستردهٔ آن مشاهده نکردیم.