Cyberopération : aide à l’hameçonnage et à la création de scripts

Cette étude de cas a été publiée initialement dans le rapport d’octobre 2025⁠(ouverture dans une nouvelle fenêtre) d’OpenAI.

Nous avons identifié et banni un groupe de comptes ChatGPT impliqués dans des activités recoupant celles de groupes malveillants publiquement désignés par le secteur sous les noms UNK_DROPPITCH (Proofpoint) et UTA0388 (Volexity). Dans au moins un cas, l’adresse e-mail utilisée pour créer un compte ChatGPT aurait également servi à envoyer des messages d’hameçonnage.

Les acteurs malveillants exploitant ces comptes présentaient des caractéristiques compatibles avec des cyberopérations menées pour répondre aux besoins du renseignement de la RPC : utilisation du chinois et ciblage du secteur taïwanais des semi-conducteurs, des universités et groupes de réflexion américains, ainsi que d’organisations associées à des groupes ethniques et politiques critiques envers le PCC, parfois décrits comme les « cinq poisons ».

Notre modèle n’a apporté aucune nouvelle capacité offensive. Les opérateurs semblent avoir principalement utilisé nos modèles pour gagner progressivement en efficacité dans leurs processus existants, notamment pour créer du contenu d’hameçonnage et déboguer ou modifier leurs outils.

Les acteurs ont utilisé ChatGPT pour accomplir deux tâches principales : générer du contenu pour des campagnes d’hameçonnage en plusieurs langues, notamment en chinois simplifié et traditionnel, en anglais et en japonais, et contribuer au développement d’outils et de logiciels malveillants. Leurs travaux de développement correspondaient à ceux d’un acteur techniquement compétent, mais peu sophistiqué. Par exemple, ils ont abordé plusieurs aspects et subtilités de l’utilisation d’AES pour sécuriser le trafic C2, tout en continuant d’employer une simple clé statique.

La méthode suivie par les acteurs pour créer du contenu d’hameçonnage était détaillée et stéréotypée, ce qui correspondait au ciblage d’un groupe démographique précisément défini. En règle générale, ils généraient un e-mail concis et d’une politesse formelle, émanant d’un personnage issu du monde universitaire, du secteur privé ou d’une conférence. Les acteurs malveillants demandaient souvent d’ajuster le ton, de remplacer certains termes par des usages régionaux ou d’ajouter des références institutionnelles précises. Bien que ces microretouches ciblées témoignent d’un effort concerté pour améliorer la qualité de leur contenu initial, les acteurs malveillants n’ont pas corrigé certains détails révélateurs, comme les coordonnées d’exemple peu plausibles figurant dans leurs blocs de signature.

Ils ont demandé des extraits de code et des listes de contrôle susceptibles d’accélérer les tâches courantes. Ils ont demandé du code pour tester des transports chiffrés (HTTPS, TLS) destinés à une interrogation simple de type balise, esquissé des extraits Go et PowerShell pour énumérer les processus, les arrêter selon le nom de l’exécutable ou recueillir des informations sur l’environnement, et intégré des scanners courants à des scripts enveloppants bash / PowerShell.

Ils ont également demandé au modèle de proposer des mesures simples d’obscurcissement et quelques améliorations de la sécurité opérationnelle (OPSEC) : renommer des fonctions, modifier des en-têtes ou masquer des chaînes. Au fil de plusieurs sessions, ils ont progressé vers des prototypes élémentaires de commande et contrôle correspondant à des logiciels malveillants de maturité faible à moyenne, notamment des boucles de maintien de connexion, une attribution minimale de tâches via HTTP(S) et des enveloppes de tâches / résultats fondées sur JSON.

Les détails d’implémentation de certaines activités de développement en Go de l’acteur recoupent des informations du secteur concernant les logiciels malveillants suivis sous les noms GOVERSHELL (Volexity) ou HealthKick (Proofpoint), ce qui suggère qu’il a utilisé des modèles pour tenter de soutenir le développement de son principal logiciel malveillant.

Parallèlement à ce travail sur les personnages et au développement d’outils, les opérateurs ont étudié d’autres possibilités d’automatisation au moyen de DeepSeek. Cette activité ressemblait à un travail exploratoire visant à automatiser l’hameçonnage de masse, par exemple en analysant du contenu web pour générer automatiquement une liste de destinataires ainsi que du contenu susceptible d’intéresser chacune des cibles potentielles identifiées. Nous ne sommes pas en mesure de confirmer de manière indépendante si les acteurs ont mis en œuvre une telle automatisation ni, le cas échéant, quel modèle ils ont finalement utilisé.

Les acteurs ont tenté d’utiliser nos modèles pour planifier et perfectionner de manière itérative des composants C2 chiffrés, des processus d’exécution de commandes à distance et des prises de contact adaptées à la culture locale, privilégiant la rapidité et la localisation plutôt que de nouvelles capacités offensives. Ils ont généré des résultats de modèles qui semblaient destinés à faciliter des activités menées hors de notre plateforme dans plusieurs domaines opérationnels :

• C2 chiffré et exécution à distance : demandes de rédaction ou de correction de code client-serveur en Go avec chiffrement des messages, notamment AES-GCM, renouvellement des clés de session, balises d’informations système et console serveur permettant d’émettre des commandes PowerShell via des protocoles web standard ou un canal fondé sur WebSocket.

• Protection du trafic et ajustements OPSEC : les demandes comprenaient du code permettant de passer de WebSockets non sécurisés à WebSockets sécurisés (wss://), ainsi que de HTTP à HTTPS, de désactiver la vérification des certificats lors de certains tests, de fondre le trafic dans un frontal CDN / TLS et de gérer des messages plus volumineux sans provoquer de plantage du client.

• Reconnaissance et contrôle des processus : demandes d’informations concernant la détection d’antivirus via PowerShell, l’énumération des processus et l’arrêt de processus Edge / WebView2 précis.

• Configuration de scanners courants : assistance à l’installation et à l’utilisation d’outils open source tels que nuclei et fscan sur une infrastructure Linux commerciale, ainsi qu’à l’enregistrement des résultats en vue d’un examen ultérieur.

• Contenu d’hameçonnage et de prise de contact : rédaction, en plusieurs langues, d’e-mails persuasifs destinés à des contacts universitaires ou professionnels, avec des objets et un style adaptés aux normes locales.

Ces activités correspondent à des catégories LLM ATT&CK, notamment LLM-Optimized Payload Crafting, LLM-Enhanced Anomaly-Detection Evasion, LLM-Assisted Post-Compromise Activity, LLM-Assisted Reconnaissance and Discovery et LLM-Assisted Social Engineering.

Nous avons désactivé tous les comptes associés à cette activité et communiqué les indicateurs pertinents à des partenaires du secteur. Les acteurs cherchaient principalement à gagner progressivement en efficacité dans leurs processus existants, notamment en produisant des e-mails d’hameçonnage prêts à l’envoi et en raccourcissant les cycles d’itération pour le code et l’automatisation courants. Nous n’avons trouvé aucune preuve que les résultats des modèles aient permis d’acquérir des capacités allant au-delà des techniques publiques bien documentées ; notre modèle n’a apporté aucune nouvelle capacité offensive. L’avantage opérationnel recherché grâce aux modèles reposait sur l’aisance linguistique, la localisation et la persévérance : probablement moins d’erreurs de langue, du code de liaison produit plus rapidement et des ajustements plus rapides en cas d’échec.