Operaatio ”ScopeCreep”: venäjänkielistä haittaohjelmakehitystä

Tämä tapaustutkimus julkaistiin alun perin OpenAI:n kesäkuun 2025⁠(avautuu uudessa ikkunassa) raportissa.

Suljimme joukon ChatGPT‑tilejä, jotka vaikuttivat olevan venäjänkielisen uhkatoimijan hallinnassa. Toimija käytti mallejamme apuna Windows-haittaohjelmien kehittämisessä ja parantelussa, useilla kielillä kirjoitetun koodin virheenkorjauksessa sekä komento- ja hallintainfrastruktuurinsa rakentamisessa.

Toimija tunsi Windowsin sisäistä toimintaa ja käytti joitakin toimintansa suojaamiseen tähtääviä menetelmiä. Nimesimme operaation ”ScopeCreepiksi”, koska siinä käytettiin troijalaisella saastutettua tähtäintyökalua peleihin ja huomaamattomia toimintatapoja.

Uhkatoimija suojasi toimintaansa huomionarvoisella tavalla. Toimija loi ChatGPT‑tilejä tilapäisillä sähköpostiosoitteilla ja käytti kutakin tiliä vain yhteen keskusteluun, joka koski yhtä pientä parannusta koodiin. Tämän jälkeen toimija hylkäsi alkuperäisen tilin ja loi uuden.

Toimija levitti ScopeCreep-haittaohjelmaa julkisen koodirepositorion kautta, joka esiintyi aitona ja suosittuna videopelien tähtäintyökaluna (Crosshair-X). Kun pahaa aavistamattomat käyttäjät latasivat ja suorittivat haitallisen version, heidän järjestelmässään käynnistyi haittaohjelman lataaja, joka latasi hyökkääjän infrastruktuurista lisää haitallisia tiedostoja ja suoritti ne.

Tämän jälkeen haittaohjelman oli tarkoitus käynnistää monivaiheinen prosessi, jossa se korottaa käyttöoikeuksiaan, varmistaa huomaamattoman pysyvyyden järjestelmässä, ilmoittaa uhkatoimijalle ja siirtää arkaluonteisia tietoja ulos järjestelmästä välttäen samalla havaituksi tulemista.

Uhkatoimija hyödynsi malliamme haittaohjelman vaiheittaisessa kehittämisessä pyytämällä ChatGPT:tä toistuvasti toteuttamaan uusia, tarkoin määriteltyjä ominaisuuksia. ScopeCreep käytti monenlaisia tekniikoita haittaohjelman jakeluun ja suorittamiseen, havaitsemisen välttämiseen sekä tietojen viemiseen järjestelmästä. Näitä olivat muun muassa:

• C2-hyötykuormat, jotka oli suunniteltu välttämään tunnistepohjainen havaitseminen.

• Huomaamaton suoritus DLL-sivulatauksen avulla.

• Koodin hämärtäminen mukautetulla Themida-pakkauksella.

• Käyttöoikeuksien korottaminen ja havaitsemisen välttäminen.

• HTTPS-liikenne portin 80 kautta.

• Kirjautumis- ja istuntotietojen varastaminen.

• Ilmoitukset hyökkääjälle Telegramin kautta.

• Liikenteen peittäminen välityspalvelimilla.

Vaikka uhkatoimija pyrki suojaamaan toimintaansa ja haittaohjelmassa oli havaitsemisen välttämiseen tarkoitettuja mekanismeja, pystyimme havaitsemaan toiminnan laajamittaisen kyberväärinkäytösten tunnistusprosessimme avulla. Poistimme haitallisen repositorion käytöstä yhteistyössä koodin säilytyspalvelun tarjoajan kanssa ja suljimme kaikki toimintaan liittyneet ChatGPT‑tilit.

Näillä tileillä käydyt keskustelut mallin kanssa käsittelivät monenlaisia kehitystehtäviä. Yhdessä keskustelussa uhkatoimija jakoi Go-koodikatkelman, jossa HTTPS-pyyntö aiheutti ongelmia, ja pyysi mallia korjaamaan virheen. Toisessa tapauksessa uhkatoimija pyysi apua PowerShell-komentojen käyttämiseen Go-koodista Windows Defenderin asetusten muuttamiseksi. Tarkoituksena oli löytää tapa lisätä virustorjunnan poikkeuksia ohjelmallisesti.

Toimintaa havainnollistavat esimerkit voidaan luokitella suurten kielimallien ATT&CK-viitekehyksen mukaisesti seuraavasti:

• Suurten kielimallien käyttäminen python310.dll-tiedoston kääntämiseen niin, että toimijan koodi suoritetaan aina, kun python.exe käynnistyy: suuren kielimallin tukema kehitys.

• SSL/TLS-varmenteisiin liittyvien virheiden selvittäminen, kun varmenteilla oli tarkoitus mahdollistaa HTTPS-liikenne portissa 80: suuren kielimallin tukema kehitys.

• Flask-pohjaisen C2-palvelimen siirtäminen mallin avulla tuotantokäyttöön valmiille WSGI-palvelimelle: suuren kielimallin tukema kehitys.

• PowerShell-komentojen kehittäminen Go-koodissa Windows Defenderin asetusten muuttamiseksi ja virustorjunnan poikkeusten lisäämiseksi: poikkeamien havaitsemisen välttäminen suuren kielimallin avulla.

• Virheiden korjaaminen koodista, jonka tehtävänä on lähettää ilmoitus hyökkääjän hallitsemalle Telegram-kanavalle, kun uuden uhrin järjestelmään on murtauduttu: suuren kielimallin tukema murron jälkeinen toiminta.

ScopeCreepin vaikutuksia on tässä vaiheessa saatettu lieventää nopealla raportoinnilla ja tiiviillä yhteistyöllä alan kumppaneiden kanssa, jotka pystyivät poistamaan haitallisen repositorion käytöstä. Suljimme tämän hyökkääjän käyttämät OpenAI-tilit.

Arviomme mukaan uhkatoimija käytti mallejamme pyrkiessään nopeuttamaan haittaohjelmiensa kehittämistä. Paradoksaalisesti tämä antoi meille myös mahdollisuuden tunnistaa uhka ja puuttua siihen nopeasti, ilmeisesti jo sen varhaisessa vaiheessa.

Haittaohjelma pystyy korottamaan käyttöoikeuksia, säilyttämään jalansijan järjestelmässä, keräämään kirjautumistietoja ja mahdollistamaan etäkäytön, mutta nämä ominaisuudet eivät ole erityisen uusia. Vaikka haittaohjelma oli todennäköisesti aktiivisessa käytössä ja siitä oli näytteitä VirusTotalissa, emme havainneet merkkejä laajasta kiinnostuksesta tai levityksestä.