Operasyong Cyber: Suporta sa phishing at scripting

Unang inilathala ang case study na ito sa ulat ng OpenAI noong Oktubre 2025⁠(magbubukas sa bagong window).

Natukoy at ipinagbawal namin ang isang pangkat ng mga ChatGPT account na sangkot sa mga aktibidad na nauugnay sa mga pampublikong ulat tungkol sa mga grupo ng banta na sinusubaybayan sa industriya bilang UNK_DROPPITCH (Proofpoint) at UTA0388 (Volexity). Sa kahit isang kaso, iniulat na ginamit din sa pagpapadala ng mga mensaheng phishing ang email address na ginamit sa pagpaparehistro ng isang ChatGPT account.

Nagpakita ang mga bantaang aktor na nagpapatakbo sa mga account na ito ng mga palatandaang tumutugma sa mga operasyong cyber na isinasagawa para sa mga pangangailangan ng intelligence ng PRC: paggamit ng wikang Chinese at pag-target sa sektor ng semiconductor ng Taiwan, mga institusyong akademiko at think tank sa U.S., at mga organisasyong nauugnay sa mga pangkat etniko at pampolitika na kritikal sa CCP, na tinatawag kung minsan na “limang lason.”

Hindi nagbigay ang aming modelo ng mga bagong kakayahan sa pag-atake. Lumilitaw na pangunahing ginamit ng mga operator ang aming mga modelo upang unti-unting mapahusay ang kahusayan ng mga kasalukuyang workflow, lalo na sa paggawa ng nilalamang phishing at pag-debug o pagbabago ng kanilang mga tool.

Ginamit ng mga aktor ang ChatGPT para sa dalawang pangunahing gawain: pagbuo ng nilalaman para sa mga phishing campaign sa maraming wika, kabilang ang simplified at traditional Chinese, English, at Japanese; at pagtulong sa pagbuo ng mga tool at malware. Ang kanilang development work ay tumutugma sa isang aktor na may sapat na teknikal na kakayahan ngunit hindi sopistikado. Halimbawa, tinalakay nila ang ilang aspekto at detalye ng paggamit ng AES upang protektahan ang trapiko ng C2, ngunit gumamit pa rin sila ng simpleng static key.

Detalyado at nakabatay sa pormula ang playbook ng mga aktor sa paggawa ng nilalamang phishing, na tumutugma sa pag-target sa isang tiyak na demograpikong grupo. Karaniwan, bumubuo sila ng maikli at pormal na magalang na email mula sa katauhan ng isang akademiko o kinatawan ng industriya o kumperensya. Madalas hilingin ng mga bantaang aktor na baguhin ang tono, palitan ang mga termino ayon sa gamit sa rehiyon, o magdagdag ng mga partikular na sanggunian sa institusyon. Bagama't ipinahihiwatig ng mga naka-target na maliliit na pagbabagong ito ang puspusang pagsisikap na pahusayin ang kanilang paunang nilalaman, hindi naitama ng mga bantaang aktor ang ilang detalyeng madaling mahalata, gaya ng hindi kapani-paniwalang halimbawang contact details sa kanilang mga signature block.

Humingi sila ng mga snippet ng code at checklist na magpapabilis sa mga rutinang gawain. Humiling sila ng code upang subukan ang mga naka-encrypt na transport (HTTPS, TLS) para sa simpleng beacon-style polling; bumalangkas ng mga snippet sa Go at PowerShell upang ilista ang mga proseso, wakasan ang mga ito ayon sa pangalan ng executable, o kumuha ng mga detalye ng environment; at ikinonekta ang mga karaniwang scanner sa mga bash / PowerShell wrapper.

Hiniling din nila sa modelo na magmungkahi ng simpleng obfuscation at maliliit na pagpapahusay sa operational security (OPSEC): pagpapalit ng pangalan ng mga function, pagsasaayos ng mga header, o pagtatago ng mga string. Sa maraming session, nagsikap silang bumuo ng mga batayang prototype ng command-and-control na tumutugma sa malware na mababa hanggang katamtaman ang antas ng kahusayan, kabilang ang mga keep-alive loop, kaunting tasking sa HTTP(S), at mga task / result envelope na nakabatay sa JSON.

Ang mga detalye ng implementasyon sa ilan sa Go-based development activity ng aktor ay tumutugma sa mga ulat ng industriya tungkol sa malware na sinusubaybayan bilang GOVERSHELL (Volexity) o HealthKick (Proofpoint), na nagpapahiwatig na sinubukan nilang gumamit ng mga modelo upang suportahan ang pagbuo ng kanilang pangunahing malware.

Kasabay ng paggawa sa mga katauhan at pagbuo ng mga tool, nagsaliksik ang mga operator ng karagdagang automation na maaaring gawin sa pamamagitan ng DeepSeek. Ang aktibidad na ito ay kahawig ng paunang pagsasaliksik upang i-automate ang malawakang phishing, halimbawa, sa pamamagitan ng pagsusuri ng nilalaman sa web upang awtomatikong bumuo ng listahan ng mga target na email at ng nilalamang malamang na makatawag sa interes ng bawat natukoy na potensyal na target. Hindi namin malayang makumpirma kung itinuloy ng mga aktor ang anumang ganitong automation at, kung oo, kung aling modelo ang ginamit nila sa huli.

Tinangka ng mga aktor na gamitin ang aming mga modelo upang magplano at paulit-ulit na bumuo ng mga naka-encrypt na bahagi ng C2, mga workflow para sa remote command execution, at outreach na iniangkop sa kultura. Mas pinahalagahan nila ang bilis at lokalisasyon kaysa sa mga bagong kakayahan sa pag-atake. Bumuo sila ng mga output ng modelo na tila nilayong suportahan ang mga aktibidad sa labas ng aming platform sa maraming larangan ng operasyon:

• Naka-encrypt na C2 at remote execution: mga kahilingang bumalangkas o magkumpuni ng Go client-server code na may encryption ng mensahe gaya ng AES-GCM, session rekeying, mga beacon ng system information, at server console para magbigay ng mga PowerShell command gamit ang mga karaniwang web protocol o channel na nakabatay sa WebSocket.

• Proteksiyon ng trapiko at mga pagbabago sa OPSEC: kabilang sa mga kahilingan ang code upang suportahan ang paglipat mula sa plain WebSockets patungo sa secure WebSockets (wss://), at mula HTTP patungong HTTPS; pag-disable ng mga certificate check sa ilang pagsubok; pagtatago ng trapiko sa pamamagitan ng CDN / TLS front end; at pagproseso ng mas malalaking mensahe nang hindi nagka-crash ang client.

• Reconnaissance at pagkontrol sa proseso: mga kahilingan para sa impormasyong nauugnay sa pagtukoy ng antivirus sa pamamagitan ng PowerShell, paglista ng mga proseso, at pagwawakas ng mga partikular na proseso ng Edge / WebView2.

• Pag-setup ng karaniwang scanning: gabay sa pag-install at paggamit ng mga open source na tool gaya ng nuclei at fscan sa komersiyal na Linux infrastructure at pag-save ng mga resulta para masuri sa ibang pagkakataon.

• Nilalaman para sa phishing at outreach: pagbalangkas ng mapanghikayat na mga email sa maraming wika para sa mga contact sa akademya o industriya, kabilang ang mga subject line at estilong iniangkop sa mga lokal na pamantayan.

Nauugnay ang mga aktibidad na ito sa mga kategorya ng LLM ATT&CK, kabilang ang LLM-Optimized Payload Crafting, LLM-Enhanced Anomaly-Detection Evasion, LLM-Assisted Post-Compromise Activity, LLM-Assisted Reconnaissance and Discovery, at LLM-Assisted Social Engineering.

Na-disable namin ang lahat ng account na nauugnay sa aktibidad na ito at ibinahagi ang mahahalagang indicator sa mga partner sa industriya. Pangunahing hangad ng mga aktor na unti-unting mapahusay ang kahusayan ng mga kasalukuyang workflow, kabilang ang paggawa ng mga phishing email na handa nang ipadala at pagpapaikli sa mga cycle ng pag-ulit para sa rutinang code at automation. Wala kaming nakitang ebidensiyang nagbigay ang mga output ng modelo ng mga kakayahang higit sa mga pampublikong pamamaraang mahusay nang naidokumento; hindi nagbigay ang aming modelo ng mga bagong kakayahan sa pag-atake. Ang bentaheng hinangad sa tradecraft sa tulong ng modelo ay nagmula sa kahusayan sa wika, lokalisasyon, at pagpupursigi: malamang na mas kaunting pagkakamali sa wika, mas mabilis na glue code, at mas mabilis na pagsasaayos kapag may pumalya.