Cibearoibríocht: Tacaíocht fioscaireachta agus scriptithe

Foilsíodh an cás-staidéar seo den chéad uair i dtuarascáil OpenAI do Dheireadh Fómhair 2025⁠(osclaíonn i bhfuinneog nua).

D’aithníomar cnuasach cuntas ChatGPT a bhí bainteach le gníomhaíocht a bhí ag forluí le tuairiscí poiblí ar ghrúpaí bagartha a rianaítear sa tionscal mar UNK_DROPPITCH (Proofpoint) agus UTA0388 (Volexity), agus chuireamar cosc orthu. I gcás amháin ar a laghad, tuairiscíodh gur úsáideadh an seoladh ríomhphoist lenar cláraíodh cuntas ChatGPT chun teachtaireachtaí fioscaireachta a sheoladh freisin.

Léirigh na gníomhaithe bagartha a bhí ag oibriú na gcuntas seo saintréithe a bhí ag teacht le cibearoibríochtaí a rinneadh chun freastal ar riachtanais faisnéise PRC: úsáid na Sínise agus díriú ar earnáil leathsheoltóirí na Téaváine, ar lucht acadúil agus meithleacha machnaimh sna Stáit Aontaithe, agus ar eagraíochtaí a bhaineann le grúpaí eitneacha agus polaitiúla a cháineann Páirtí Cumannach na Síne, ar a dtugtar na “cúig nimh” uaireanta.

Níor chuir ár samhail aon chumais ionsaitheacha nua ar fáil. Is cosúil gur bhain na hoibreoirí úsáid as ár samhlacha go príomha chun éifeachtúlacht na sreafaí oibre a bhí acu cheana a fheabhsú de réir a chéile, go háirithe chun ábhar fioscaireachta a cheapadh agus chun a n-uirlisí a dhífhabhtú nó a mhodhnú.

D’úsáid na gníomhaithe ChatGPT chun dhá phríomhthasc a dhéanamh: ábhar a ghiniúint d’fheachtais fioscaireachta i dteangacha éagsúla, lena n-áirítear Sínis shimplithe agus thraidisiúnta, Béarla agus Seapáinis; agus cuidiú le huirlisí agus bogearraí mailíseacha a fhorbairt. Bhí a gcuid oibre forbartha ag teacht le gníomhaí a bhí inniúil go teicniúil ach nach raibh sofaisticiúil. Mar shampla, phléigh siad roinnt gnéithe agus miondifríochtaí a bhaineann le AES a úsáid chun trácht C2 a chosaint, ach d’úsáid siad eochair statach shimplí fós.

Bhí leabhar oibre mionsonraithe foirmleach ag na gníomhaithe chun ábhar fioscaireachta a chruthú, rud a bhí ag teacht le díriú ar dhéimeagrafach a bhí sainithe go cúng. De ghnáth, ghineann siad ríomhphost gonta, foirmiúil agus dea-bhéasach ó phearsa acadúil, tionscail nó comhdhála. Ba mhinic a d’iarr na gníomhaithe bagartha an tuin a athrú, téarmaí réigiúnacha a chur in ionad téarmaí eile, nó tagairtí d’institiúidí ar leith a chur leis. Cé go dtugann na mionathruithe spriocdhírithe seo le fios go ndearnadh iarracht chomhordaithe caighdeán an bhunábhair a fheabhsú, níor cheartaigh na gníomhaithe bagartha roinnt sonraí a sceith an rún, amhail sonraí teagmhála samplacha dochreidte ina gcuid bloc sínithe.

D’iarr siad sleachta cód agus seicliostaí a chuirfeadh dlús le gnáth-thascanna. D’iarr siad cód chun córais iompair chriptithe (HTTPS, TLS) a thástáil le haghaidh vótaíocht shimplí ar nós rabhcháin; dhear siad sleachta Go agus PowerShell chun próisis a liostú, próisis a stopadh de réir ainm an chomhaid inrite, nó sonraí timpeallachta a bhailiú; agus rinne siad scanóirí coitianta a chomhtháthú le fillteáin bash / PowerShell.

D’iarr siad ar an tsamhail freisin doiléiriú simplí agus mionfheabhsuithe slándála oibríochtúla (OPSEC) a mholadh: feidhmeanna a athainmniú, ceanntásca a mhionathrú nó teaghráin a cheilt. Thar roinnt seisiún, rinne siad iarracht fréamhshamhlacha bunúsacha ceannais agus rialaithe a fhorbairt a bhí ag teacht le bogearraí mailíseacha ar leibhéal íseal go meánach aibíochta, lena n-áirítear lúba coinneála ceangail, dáileadh íosta tascanna thar HTTP(S), agus clúdaigh tascanna / torthaí bunaithe ar JSON.

Tá sonraí cur chun feidhme i gcuid de ghníomhaíochtaí forbartha Go an ghníomhaí ag forluí le tuairiscí tionscail ar bhogearraí mailíseacha a rianaítear mar GOVERSHELL (Volexity) nó HealthKick (Proofpoint), rud a thugann le fios gur úsáid siad samhlacha chun tacú lena bpríomhobair forbartha bogearraí mailíseacha.

In éineacht leis an obair seo ar phearsana agus ar fhorbairt uirlisí, rinne na hoibreoirí taighde ar uathoibriú breise a d’fhéadfaí a bhaint amach trí DeepSeek. Bhí an ghníomhaíocht seo cosúil le hobair thaiscéalaíoch chun ollfhioscaireacht a uathoibriú, mar shampla trí anailís a dhéanamh ar ábhar gréasáin chun liosta spriocanna ríomhphoist a ghiniúint go huathoibríoch, mar aon le hábhar ginte ar dócha go mbeadh spéis ag gach sprioc fhéideartha aitheanta ann. Ní féidir linn a dheimhniú go neamhspleách ar chuir na gníomhaithe aon uathoibriú den sórt sin i bhfeidhm ná, má chuir, cén tsamhail a d’úsáid siad sa deireadh.

Rinne na gníomhaithe iarracht ár samhlacha a úsáid chun comhpháirteanna criptithe C2, sreafaí oibre chun orduithe a rith go cianda, agus cumarsáid a bhí oiriúnaithe don chultúr a phleanáil agus a mhionathrú. Chuir siad luach níos mó ar luas agus ar logánú ná ar chumais ionsaitheacha nua. Ghin siad aschuir ó shamhlacha a raibh an chuma orthu gur ceapadh iad chun tacú le gníomhaíocht lasmuigh dár n-ardán i roinnt réimsí oibríochtúla:

• C2 criptithe agus cianrith: iarratais chun cód cliant-freastalaí Go a dhréachtú nó a dheisiú, le criptiú teachtaireachtaí amhail AES-GCM, athrú eochrach seisiúin, rabhcháin faisnéise córais, agus consól freastalaí chun orduithe PowerShell a eisiúint thar ghnáthphrótacail ghréasáin nó cainéal bunaithe ar WebSocket.

• Cosaint tráchta agus mionathruithe OPSEC: áiríodh leis na hiarratais cód chun tacú le haistriú ó WebSockets neamhchriptithe go WebSockets slána (wss://), agus ó HTTP go HTTPS; seiceálacha teastais a dhíchumasú i roinnt tástálacha; trácht a chumasc trí CDN / ceann tosaigh TLS; agus teachtaireachtaí níos mó a láimhseáil gan an cliant a thuairteáil.

• Taiscéalaíocht agus rialú próiseas: iarratais ar fhaisnéis maidir le bogearraí frithvíreas a aimsiú trí PowerShell, próisis a liostú, agus próisis shonracha Edge / WebView2 a stopadh.

• Scanadh coitianta a chur ar bun: treoir maidir le huirlisí foinse oscailte amhail nuclei agus fscan a shuiteáil agus a úsáid ar bhonneagar tráchtála Linux, agus na torthaí a shábháil lena n-athbhreithniú níos déanaí.

• Ábhar fioscaireachta agus teagmhála: ríomhphoist áititheacha a dhréachtú i dteangacha éagsúla do theagmhálaithe acadúla nó tionscail, lena n-áirítear línte ábhair agus stíl a bhí curtha in oiriúint do ghnásanna áitiúla.

Tagann na gníomhaíochtaí seo faoi chatagóirí LLM ATT&CK, lena n-áirítear LLM-Optimized Payload Crafting, LLM-Enhanced Anomaly-Detection Evasion, LLM-Assisted Post-Compromise Activity, LLM-Assisted Reconnaissance and Discovery, agus LLM-Assisted Social Engineering.

Dhíchumasaíomar gach cuntas a bhain leis an ngníomhaíocht seo agus roinneamar táscairí ábhartha le comhpháirtithe tionscail. Rinne na gníomhaithe iarracht go príomha éifeachtúlacht na sreafaí oibre a bhí acu cheana a fheabhsú de réir a chéile, lena n-áirítear ríomhphoist fhioscaireachta a bhí réidh le seoladh a chruthú agus timthriallta atriallta a ghiorrú do ghnáthchód agus d’uathoibriú. Ní fhacamar aon fhianaise gur chuir aschuir ón tsamhail cumais ar fáil a chuaigh níos faide ná teicnící poiblí a bhfuil doiciméadú maith déanta orthu; níor chuir ár samhail aon chumais ionsaitheacha nua ar fáil. Bhain an buntáiste oirbheartaíochta a bhí á lorg trí chúnamh na samhla le líofacht teanga, logánú agus dianseasmhacht: is dócha go raibh níos lú earráidí teanga ann, gur táirgeadh cód comhtháthaithe níos tapúla, agus go ndearnadh coigeartuithe níos gasta nuair a theip ar rud éigin.