साइबर अभियान: फ़िशिंग और स्क्रिप्टिंग सहायता

यह केस अध्ययन मूल रूप से OpenAI की अक्टूबर 2025⁠(एक नई विंडो में खुलेगा) की रिपोर्ट में प्रकाशित हुआ था.

हमने ChatGPT खातों के एक समूह की पहचान करके उन पर प्रतिबंध लगाया. ये खाते ऐसी गतिविधियों में शामिल थे जो उद्योग में UNK_DROPPITCH (Proofpoint) और UTA0388 (Volexity) नाम से निगरानी किए जा रहे खतरा समूहों के बारे में सार्वजनिक रिपोर्टों से मेल खाती थीं. कम-से-कम एक मामले में, ChatGPT खाते के पंजीकरण के लिए इस्तेमाल किए गए ईमेल पते से ही कथित तौर पर फ़िशिंग संदेश भी भेजे गए थे.

इन खातों को चलाने वाले तत्वों में चीन की खुफिया जरूरतें पूरी करने के लिए किए जाने वाले साइबर अभियानों के अनुरूप संकेत दिखे. इनमें चीनी भाषा का इस्तेमाल और ताइवान के सेमीकंडक्टर क्षेत्र, अमेरिका के शिक्षण एवं शोध संस्थानों और विचार समूहों तथा चीनी कम्युनिस्ट पार्टी की आलोचना करने वाले जातीय एवं राजनीतिक समूहों से जुड़े संगठनों को निशाना बनाना शामिल था. इन समूहों को कभी-कभी “पाँच ज़हर” कहा जाता है.

हमारे मॉडल ने हमले की कोई नई क्षमता उपलब्ध नहीं कराई. ऐसा लगता है कि संचालकों ने मुख्य रूप से मौजूदा कार्यप्रवाहों को कुछ अधिक कुशल बनाने के लिए हमारे मॉडलों का इस्तेमाल किया, खासकर फ़िशिंग सामग्री तैयार करने और अपने उपकरणों में त्रुटियाँ ढूँढ़ने या बदलाव करने के लिए.

इन तत्वों ने ChatGPT से मुख्य रूप से दो काम किए: सरलीकृत और पारंपरिक चीनी, अंग्रेज़ी तथा जापानी सहित कई भाषाओं में फ़िशिंग अभियानों की सामग्री तैयार करना और उपकरण व दुर्भावनापूर्ण सॉफ़्टवेयर विकसित करने में सहायता लेना. उनका विकास कार्य तकनीकी रूप से सक्षम, लेकिन बहुत उन्नत न होने वाले तत्व के अनुरूप था. उदाहरण के लिए, उन्होंने C2 ट्रैफ़िक को सुरक्षित करने के लिए AES के इस्तेमाल के कई पहलुओं और बारीकियों पर चर्चा की, फिर भी एक साधारण स्थिर कुंजी का इस्तेमाल किया.

फ़िशिंग सामग्री बनाने की उनकी कार्ययोजना विस्तृत और तयशुदा थी, जो किसी बेहद स्पष्ट रूप से परिभाषित जनसांख्यिकीय समूह को निशाना बनाने के अनुरूप थी. वे आम तौर पर किसी शिक्षाविद, उद्योग प्रतिनिधि या सम्मेलन प्रतिनिधि के रूप में संक्षिप्त और औपचारिक रूप से विनम्र ईमेल तैयार करवाते थे. ये तत्व अक्सर लहजा बदलने, शब्दों को क्षेत्रीय प्रचलन के अनुरूप करने या किसी खास संस्थान का उल्लेख जोड़ने को कहते थे. इन लक्षित छोटे बदलावों से पता चलता है कि उन्होंने शुरुआती सामग्री की गुणवत्ता सुधारने के लिए सुनियोजित प्रयास किया. इसके बावजूद वे ऐसे कुछ स्पष्ट संकेतों को ठीक नहीं कर पाए, जैसे हस्ताक्षर खंड में दिए गए अविश्वसनीय नमूना संपर्क विवरण.

उन्होंने नियमित कार्यों को तेज़ करने वाले कोड अंश और जाँच-सूचियाँ माँगीं. उन्होंने साधारण बीकन-शैली की पोलिंग के लिए कूटलेखित परिवहन (HTTPS, TLS) का परीक्षण करने वाला कोड माँगा, प्रक्रियाओं की सूची बनाने, निष्पादन योग्य फ़ाइल के नाम से उन्हें बंद करने या परिवेश का विवरण जुटाने के लिए Go और PowerShell के कोड अंश तैयार किए और आम स्कैनरों को bash / PowerShell आवरणों से जोड़ा.

उन्होंने मॉडल से छिपाव और परिचालन सुरक्षा (OPSEC) में साधारण सुधार सुझाने को भी कहा, जैसे फ़ंक्शन के नाम बदलना, हेडर में बदलाव करना या स्ट्रिंग छिपाना. कई सत्रों में उन्होंने कम से मध्यम स्तर के दुर्भावनापूर्ण सॉफ़्टवेयर के अनुरूप बुनियादी कमांड-एंड-कंट्रोल नमूने बनाने की कोशिश की. इनमें कनेक्शन सक्रिय रखने वाले लूप, HTTP(S) पर सीमित निर्देश और JSON-आधारित कार्य एवं परिणाम आवरण शामिल थे.

इन तत्वों की Go-आधारित कुछ विकास गतिविधियों के कार्यान्वयन विवरण, GOVERSHELL (Volexity) या HealthKick (Proofpoint) नाम से निगरानी किए जाने वाले दुर्भावनापूर्ण सॉफ़्टवेयर पर उद्योग की रिपोर्टों से मेल खाते हैं. इससे संकेत मिलता है कि उन्होंने अपने मुख्य दुर्भावनापूर्ण सॉफ़्टवेयर के विकास में सहायता के लिए मॉडलों का इस्तेमाल करने की कोशिश की.

प्रतिरूप तैयार करने और उपकरण विकसित करने के साथ-साथ संचालकों ने DeepSeek से संभव हो सकने वाले अतिरिक्त स्वचालन पर भी शोध किया. यह गतिविधि बड़े पैमाने पर फ़िशिंग को स्वचालित करने के शुरुआती प्रयोग जैसी थी. उदाहरण के लिए, वे वेब सामग्री का विश्लेषण करके संभावित लक्ष्यों की ईमेल सूची और हर पहचाने गए लक्ष्य की संभावित रुचि के अनुरूप सामग्री अपने-आप तैयार करना चाहते थे. हम स्वतंत्र रूप से इसकी पुष्टि नहीं कर सकते कि इन तत्वों ने ऐसा कोई स्वचालन लागू किया या नहीं और अगर किया, तो अंततः किस मॉडल का इस्तेमाल किया.

इन तत्वों ने हमारे मॉडलों का इस्तेमाल करके कूटलेखित C2 घटकों, दूरस्थ कमांड निष्पादन कार्यप्रवाहों और सांस्कृतिक संदर्भ के अनुरूप संपर्क अभियानों की योजना बनाने तथा उनमें बार-बार सुधार करने की कोशिश की. उनका मुख्य ज़ोर हमले की नई क्षमता के बजाय गति और स्थानीयकरण पर था. उन्होंने मॉडल से ऐसे परिणाम तैयार किए जो कई परिचालन क्षेत्रों में हमारे मंच से बाहर की गतिविधियों में सहायता के लिए बनाए गए प्रतीत हुए:

• कूटलेखित C2 और दूरस्थ निष्पादन: AES-GCM जैसे संदेश कूटलेखन, सत्र में नई कुंजी लगाने, सिस्टम-सूचना बीकन और मानक वेब प्रोटोकॉल या WebSocket-आधारित चैनल पर PowerShell कमांड जारी करने वाले सर्वर कंसोल सहित Go क्लाइंट-सर्वर कोड लिखने या सुधारने के अनुरोध.

• ट्रैफ़िक सुरक्षा और OPSEC सुधार: साधारण WebSockets से सुरक्षित WebSockets (wss://) और HTTP से HTTPS पर जाने में सहायक कोड, कुछ परीक्षणों में प्रमाणपत्र जाँच बंद करने, CDN / TLS अग्रभाग के ज़रिए ट्रैफ़िक को सामान्य ट्रैफ़िक में मिलाने और क्लाइंट ठप हुए बिना बड़े संदेश संभालने के अनुरोध.

• टोह और प्रक्रिया नियंत्रण: PowerShell से वायरस-रोधी सॉफ़्टवेयर का पता लगाने और प्रक्रियाओं की सूची बनाने से जुड़ी जानकारी के अनुरोध तथा Edge / WebView2 की खास प्रक्रियाएँ बंद करने के अनुरोध.

• सामान्य स्कैनिंग व्यवस्था: व्यावसायिक Linux अवसंरचना पर nuclei और fscan जैसे मुक्त स्रोत उपकरण स्थापित करने व इस्तेमाल करने और बाद में समीक्षा के लिए परिणाम सहेजने संबंधी व्यावहारिक सहायता.

• फ़िशिंग और संपर्क सामग्री: शिक्षण एवं शोध संस्थानों या उद्योग के संपर्कों के लिए कई भाषाओं में प्रभावशाली ईमेल तैयार करना, जिनमें स्थानीय मानदंडों के अनुरूप विषय पंक्तियाँ और शैली भी शामिल थीं.

ये गतिविधियाँ LLM ATT&CK की श्रेणियों से मेल खाती हैं, जिनमें LLM-Optimized Payload Crafting, LLM-Enhanced Anomaly-Detection Evasion, LLM-Assisted Post-Compromise Activity, LLM-Assisted Reconnaissance and Discovery और LLM-Assisted Social Engineering शामिल हैं.

हमने इस गतिविधि से जुड़े सभी खाते बंद कर दिए और संबंधित संकेत उद्योग भागीदारों के साथ साझा किए. इन तत्वों ने मुख्य रूप से मौजूदा कार्यप्रवाहों को कुछ अधिक कुशल बनाने की कोशिश की. इसमें भेजने के लिए तैयार फ़िशिंग ईमेल बनाना और नियमित कोड एवं स्वचालन में सुधार के चक्र छोटे करना शामिल था. हमें ऐसा कोई प्रमाण नहीं मिला कि मॉडल के परिणामों ने सार्वजनिक रूप से सुविख्यात तकनीकों से आगे की क्षमताएँ उपलब्ध कराईं. हमारे मॉडल ने हमले की कोई नई क्षमता उपलब्ध नहीं कराई. मॉडल की सहायता से वे भाषाई प्रवाह, स्थानीयकरण और लगातार प्रयास करने की क्षमता के ज़रिए कार्यकुशलता बढ़ाना चाहते थे. इससे संभवतः भाषा संबंधी गलतियाँ कम हुईं, जोड़ने वाला कोड तेज़ी से बना और किसी चीज़ के विफल होने पर बदलाव जल्दी किए गए.