Cyberopération : soutien à l’hameçonnage et aux scripts

Cette étude de cas a été publiée initialement dans le rapport d’OpenAI d’octobre 2025⁠(s'ouvre dans une nouvelle fenêtre).

Nous avons repéré et banni un groupe de comptes ChatGPT associés à des activités qui recoupaient celles de groupes malveillants suivis dans l’industrie sous les noms UNK_DROPPITCH (Proofpoint) et UTA0388 (Volexity), selon des rapports publics. Dans au moins un cas, l’adresse courriel utilisée pour créer un compte ChatGPT aurait également servi à envoyer des messages d’hameçonnage.

Les auteurs de menaces qui exploitaient ces comptes présentaient des caractéristiques correspondant à des cyberopérations menées pour répondre aux besoins du renseignement de la RPC : utilisation du chinois et ciblage du secteur taïwanais des semi-conducteurs, du milieu universitaire et des groupes de réflexion américains, ainsi que d’organisations associées à des groupes ethniques et politiques critiques envers le PCC, parfois qualifiés de « cinq poisons ».

Notre modèle n’a introduit aucune nouvelle capacité offensive. Les opérateurs semblent avoir principalement utilisé nos modèles pour accroître progressivement l’efficacité de leurs processus existants, surtout pour créer du contenu d’hameçonnage et déboguer ou modifier leurs outils.

Les acteurs ont utilisé ChatGPT pour accomplir deux tâches principales : générer du contenu pour des campagnes d’hameçonnage en plusieurs langues, dont le chinois simplifié et traditionnel, l’anglais et le japonais, et contribuer au développement d’outils et de logiciels malveillants. Leur travail de développement correspondait à celui d’un acteur techniquement compétent, mais peu sophistiqué. Par exemple, ils ont abordé plusieurs aspects et nuances de l’utilisation d’AES pour sécuriser le trafic C2, tout en continuant d’utiliser une simple clé statique.

La méthode des acteurs pour créer du contenu d’hameçonnage était détaillée et stéréotypée, ce qui concordait avec le ciblage d’un groupe démographique étroitement défini. En général, ils généraient un courriel concis et formellement courtois provenant d’un personnage du milieu universitaire, de l’industrie ou d’une conférence. Les auteurs de menaces demandaient souvent d’ajuster le ton, de remplacer certains termes par des usages régionaux ou d’ajouter des références institutionnelles précises. Bien que ces micromodifications ciblées indiquent un effort concerté pour rehausser la qualité de leur contenu initial, les auteurs de menaces ont omis de corriger certains détails révélateurs, comme les coordonnées fictives peu plausibles incluses dans leurs blocs-signatures.

Ils ont demandé des extraits de code et des listes de vérification pour accélérer les tâches courantes. Ils ont demandé du code pour tester des transports chiffrés (HTTPS, TLS) servant à de simples interrogations périodiques de type balise; esquissé des extraits Go et PowerShell pour énumérer les processus, les arrêter selon le nom de l’exécutable ou recueillir des données sur l’environnement; et intégré des outils d’analyse courants à des scripts d’encapsulation bash et PowerShell.

Ils ont aussi demandé au modèle de proposer de simples retouches d’obscurcissement et de sécurité opérationnelle (OPSEC), comme renommer des fonctions, modifier des en-têtes ou masquer des chaînes. Au fil de plusieurs séances, ils ont progressé vers des prototypes élémentaires de commande et contrôle correspondant à des logiciels malveillants de maturité faible à moyenne, notamment des boucles de maintien de connexion, l’attribution minimale de tâches par HTTP(S) et des enveloppes de tâches et de résultats fondées sur JSON.

Certains détails de mise en œuvre des activités de développement en Go de l’acteur recoupent des rapports de l’industrie sur des logiciels malveillants suivis sous les noms GOVERSHELL (Volexity) ou HealthKick (Proofpoint), ce qui laisse croire qu’il a utilisé des modèles pour tenter de soutenir le développement de son principal logiciel malveillant.

Parallèlement à ce travail sur les personnages et au développement d’outils, les opérateurs ont étudié d’autres possibilités d’automatisation au moyen de DeepSeek. Cette activité ressemblait à un travail exploratoire visant à automatiser l’hameçonnage de masse, par exemple en analysant du contenu Web pour générer automatiquement une liste de cibles de courriel ainsi que du contenu susceptible d’intéresser chaque cible potentielle repérée. Nous ne pouvons pas confirmer de façon indépendante si les acteurs ont mis en œuvre une telle automatisation ni, le cas échéant, quel modèle ils ont finalement utilisé.

Les acteurs ont tenté d’utiliser nos modèles pour planifier et perfectionner de façon itérative des composants C2 chiffrés, des processus d’exécution de commandes à distance et des communications adaptées à la culture, privilégiant surtout la rapidité et la localisation plutôt que de nouvelles capacités offensives. Ils ont généré des résultats de modèles qui semblaient destinés à soutenir, hors de notre plateforme, des activités dans plusieurs domaines opérationnels :

• C2 chiffré et exécution à distance : demandes visant à rédiger ou à réparer du code client-serveur Go avec chiffrement des messages, notamment AES-GCM, renouvellement des clés de session, balises d’information système et console de serveur permettant d’exécuter des commandes PowerShell par des protocoles Web standards ou un canal fondé sur WebSocket.

• Protection du trafic et ajustements OPSEC : les demandes comprenaient du code permettant de passer de WebSockets non sécurisés à WebSockets sécurisés (wss://), ainsi que de HTTP à HTTPS; de désactiver la vérification des certificats dans certains tests; de fondre le trafic dans un frontal CDN/TLS; et de traiter des messages plus volumineux sans faire planter le client.

• Reconnaissance et contrôle des processus : demandes d’information sur la détection d’antivirus au moyen de PowerShell et l’énumération des processus, ainsi que demandes visant à arrêter des processus Edge/WebView2 précis.

• Configuration d’outils d’analyse courants : aide pratique pour installer et utiliser des outils à code source ouvert comme nuclei et fscan sur une infrastructure Linux commerciale, puis enregistrer les résultats pour les examiner ultérieurement.

• Contenu d’hameçonnage et de prise de contact : rédaction, en plusieurs langues, de courriels persuasifs destinés à des contacts universitaires ou industriels, avec des objets et un style adaptés aux normes locales.

Ces activités correspondent à des catégories LLM ATT&CK, notamment LLM-Optimized Payload Crafting, LLM-Enhanced Anomaly-Detection Evasion, LLM-Assisted Post-Compromise Activity, LLM-Assisted Reconnaissance and Discovery et LLM-Assisted Social Engineering.

Nous avons désactivé tous les comptes associés à cette activité et communiqué les indicateurs pertinents à des partenaires de l’industrie. Les acteurs cherchaient surtout à accroître progressivement l’efficacité de leurs processus existants, notamment en produisant des courriels d’hameçonnage prêts à envoyer et en raccourcissant les cycles d’itération du code courant et de l’automatisation. Nous n’avons trouvé aucune preuve que les résultats du modèle aient permis des capacités allant au-delà des techniques publiques bien documentées; notre modèle n’a introduit aucune nouvelle capacité offensive. L’avantage opérationnel recherché grâce au modèle provenait de l’aisance linguistique, de la localisation et de la persistance : probablement moins d’erreurs de langue, du code de liaison produit plus rapidement et des ajustements plus rapides en cas d’échec.