Cibearoibríocht: Uirlisí bogearraí mailíseacha Rúisise
Chuir OpenAI cosc ar chuntais ar dócha go raibh nasc acu le grúpaí coiriúla Rúisise a d’úsáid IS chun lódálaithe bogearraí mailíseacha, sraitheanna imghabhála, scripteanna goidte dintiúr agus bonneagar C2 a thógáil.
Foilsíodh an cás-staidéar seo ar dtús i dtuarascáil OpenAI, Deireadh Fómhair 2025(osclaíonn i bhfuinneog nua).
Gníomhaí
Chuireamar cosc ar chuntais ChatGPT a bhí ag iarraidh an tsamhail a úsáid chun bogearraí mailíseacha a fhorbairt agus a fheabhsú, lena n-áirítear Traíoch cianrochtana, uirlisí goidte dintiúr agus gnéithe chun brath a sheachaint. Is cosúil go raibh na cuntais seo cleamhnaithe le grúpaí coiriúla Rúisise, mar chonaiceamar iad ag postáil fianaise ar a ngníomhaíochtaí i gcainéal Telegram a bhí dírithe ar na gníomhaithe sin. Bunaithe ar ár n-imscrúdú, measaimid go raibh baint ag an ngníomhaíocht seo le hoibreoir Rúisise a bhí ag bainistiú roinnt cuntas agus ag baint leas as seachfhreastalaithe agus bonneagar óstála sealadach.
Iompar
D’úsáid an gníomhaí bagartha seo roinnt cuntas ChatGPT go príomha chun fréamhshamhlacha de chomhpháirteanna teicniúla a chruthú agus fabhtanna iontu a réiteach, ar comhpháirteanna iad a chumasaíonn gníomhaíocht iar-shaothraithe agus goid dintiúr—gníomhaíochtaí a bhfuil aithne mhaith orthu i measc gníomhaithe bagartha den chineál seo. Dhiúltaigh an tsamhail d’iarratais dhíreacha ar ábhar mailíseach a ghiniúint. Dá bhrí sin, bhain gnáthúsáid an oibreora as an tsamhail le cód tógála a mhealladh aisti, amhail comhaid inrite thiomsaithe a thiontú ina shellcode, lódálaithe cuimhne a dhearadh nó dintiúir brabhsálaí a pharsáil. Is dócha gur chuir an gníomhaí bagartha na codanna sin le chéile ina sreafaí oibre mailíseacha ansin.
D’úsáid an gníomhaí bagartha ár samhlacha freisin chun cód do cheilt agus do phatrúin “criptitheora” a ghiniúint, mar shampla treoracha stuála agus seichimh bhruscair a ionsá, monatóireacht a dhéanamh ar an ngearrthaisce, agus cúntóirí simplí eiseachadta a chruthú, amhail uaslódálaí bota Telegram agus scripteanna cartlannaithe agus seolta. Níl na haschuir seo mailíseach astu féin, ach amháin má úsáideann gníomhaí bagartha iad ar an gcaoi sin lasmuigh dár n-ardán.
D’úsáid an gníomhaí bagartha ChatGPT go príomha le haghaidh tascanna teicniúla, amhail láimhseáil ísealleibhéil PE / Win32 API agus fianán DPAPI / AES GCM, chomh maith le huathoibriú Chrome DevTools / CDP. Rinne an gníomhaí bagartha meascán d’iarratais ardsofaisticiúla agus d’iarratais nach raibh chomh sofaisticiúil céanna: bhí eolas domhain ar ardán Windows agus dífhabhtú atriallach ag teastáil i gcás go leor leideanna, agus rinne cinn eile tascanna coitianta a uathoibriú, amhail pasfhocail a ghiniúint ar scála mór agus iarratais ar phoist a dhéanamh le scripteanna. D’úsáid an t-oibreoir líon beag cuntas ChatGPT agus rinne sé an cód céanna a leasú thar roinnt comhráite, patrún a thagann le forbairt leanúnach seachas tástáil ócáideach.
Freagraí
Níor úsáideadh ár samhlacha chun aon uirlisí ná sreafaí oibre de chuid an ghníomhaí bagartha a rith, agus ní féidir linn aon ghníomhaíocht lasmuigh den ardán a fhíorú go neamhspleách. Rinne an gníomhaí bagartha seo iarracht ár samhlacha a úsáid chun uirlisí ionsaitheacha agus sreafaí oibre oibríochtúla a fhorbairt agus a fheabhsú, ar dealraitheach go gcumasaíonn siad dintiúir agus sócmhainní cripte a ghoid, cód a rith go folaitheach agus bonneagar ceilte a bhainistiú.
Go sonrach, d’úsáid siad ChatGPT chun cód inoibrithe agus treoir imscartha a ghiniúint agus a fheabhsú le haghaidh rith sa chuimhne agus lódálaithe shellcode; seachaintí UAC / SmartScreen / Mark-of-the-Web; creataí chun dintiúir agus fianáin bhrabhsálaí a bhaint agus sonraí atá nasctha le haipeanna a dhíchriptiú; parsáil sparán LevelDB agus uirlisí chun an ghearrthaisce a fhuadach nó a ionadú agus sonraí a eiseachadadh; agus comhpháirteanna cianrochtana (RAT), lena n-áirítear físeán agus aithris ionchuir. I gcomhréir lena gcosaintí, dhiúltaigh ár samhlacha d’iarratais a bhí go follasach mailíseach agus nach raibh aon fheidhm dhlisteanach acu.
Is féidir samplaí ionadaíocha de na gníomhaíochtaí seo a mhapáil chuig creat LLM ATT&CK mar seo a leanas:
Gníomhaíocht | Catagóir i gCreat LLM ATT&CK |
|---|---|
EXEanna a thiontú ina shellcode atá neamhspleách ar shuíomh; lódálaithe cuimhne a thógáil (VirtualAlloc / WriteProcessMemory / snáithe cianda); teangacha a thiontú do shlabhraí uirlisí lódálaithe. | Ceapadh Pálasta Optamaithe do LLM |
Sraitheanna ceilte / pacálaithe, criptitheoirí agus teicnící a ionsá ar dócha gur ceapadh iad chun sínithe PE a athrú nó pálastaí a cheilt ar AV/EDR ar bhealach eile. | Imghabháil Braite Aimhrialtachta arna Feabhsú ag LLM |
Scripteanna agus cód ríomhchláraithe a ghiniúint ar dócha gur ceapadh iad chun dintiúir agus fianáin bhrabhsálaí a bhaint / a dhíchriptiú, LevelDBanna sparán a pharsáil, monatóireacht a dhéanamh ar inneachar na gearrthaisce nó é a ionadú, agus sonraí a eiseachadadh trí chainéil bota amhail Telegram. | Gníomhaíocht Iar-Sháraithe le Cúnamh LLM |
Bonneagar C2 agus tollánaithe a thógáil agus a fheabhsú, lena n-áirítear seachfhreastalaithe droim ar ais, cumraíochtaí SOCKS5 / OpenVPN, tollánú ciandeisce, agus treoir dífhabhtaithe / imscartha do chian-sruthú agus d’aithris ionchuir. | Próifíliú Bonneagair faoi Threoir LLM |
Tionchar
Dhíchumasaíomar gach cuntas a bhain leis an ngníomhaíocht seo agus roinneamar táscairí ábhartha le comhpháirtithe sa tionscal. Ní bhfuaireamar aon fhianaise gur thug rochtain ar ár samhlacha cumais nó bealaí nua do na gníomhaithe seo nach bhféadfaidís a fháil ó roinnt acmhainní atá ar fáil go poiblí. Dhiúltaigh ár samhlacha d’iarratais dhíreacha ar shaothrú agus ar eochairlogálaithe.