अभियान “स्कोपक्रीप”: रूसी-भाषी हमलावर द्वारा मैलवेयर विकास

यह केस स्टडी मूल रूप से OpenAI की जून 2025⁠(एक नई विंडो में खुलेगा) की रिपोर्ट में प्रकाशित हुई थी.

हमने ChatGPT खातों के एक समूह पर प्रतिबंध लगाया, जिसे संभवतः एक रूसी-भाषी हमलावर चला रहा था. इस हमलावर ने विंडोज़ के लिए मैलवेयर बनाने और उसे बेहतर करने, कई भाषाओं में लिखे कोड की त्रुटियाँ ठीक करने और अपना कमान एवं नियंत्रण ढाँचा स्थापित करने में हमारे मॉडलों की मदद ली.

हमलावर को विंडोज़ की आंतरिक कार्यप्रणाली की जानकारी थी और वह अपनी गतिविधियों को सुरक्षित रखने के कुछ उपाय भी अपना रहा था. इस अभियान में ट्रोजन से संक्रमित “क्रॉसहेयर” गेमिंग उपकरण के इस्तेमाल और छिपकर काम करने की रणनीतियों पर ज़ोर था. इसी आधार पर हमने इसे “स्कोपक्रीप” नाम दिया है.

अपनी गतिविधियों को सुरक्षित रखने का इस हमलावर का तरीका उल्लेखनीय था. वह अस्थायी ईमेल पतों से ChatGPT खाते बनाता था और हर खाते में अपने कोड में एक छोटा सुधार करने के बारे में केवल एक बातचीत करता था. इसके बाद वह उस खाते को छोड़कर नया खाता बना लेता था.

हमलावर ने स्कोपक्रीप मैलवेयर को सार्वजनिक रूप से उपलब्ध एक कोड रिपॉज़िटरी के ज़रिए फैलाया. यह रिपॉज़िटरी वीडियो गेम में निशाने का चिह्न दिखाने वाले एक वैध और लोकप्रिय उपकरण (क्रॉसहेयर-एक्स) की नकल थी. खतरे से अनजान उपयोगकर्ता जब इस दुर्भावनापूर्ण संस्करण को डाउनलोड करके चलाते, तो उनके सिस्टम पर मैलवेयर लोडर शुरू हो जाता. इसके बाद हमलावर के बुनियादी ढाँचे से और दुर्भावनापूर्ण फ़ाइलें डाउनलोड होकर चलने लगतीं.

इसके बाद मैलवेयर को कई चरणों वाली प्रक्रिया शुरू करने के लिए बनाया गया था, ताकि वह पहचान से बचते हुए अपने सिस्टम अधिकार बढ़ा सके, चुपचाप अपनी स्थायी मौजूदगी बना सके, हमलावर को सूचित कर सके और संवेदनशील डेटा चुराकर बाहर भेज सके.

हमलावर ने मैलवेयर को चरण-दर-चरण विकसित करने में हमारे मॉडल की मदद ली. इसके लिए वह लगातार ChatGPT से उसमें और विशिष्ट सुविधाएँ जोड़ने को कहता रहा. स्कोपक्रीप में मैलवेयर पहुँचाने और चलाने, पहचान से बचने और डेटा चुराकर बाहर भेजने की कई तकनीकें दिखीं, जिनमें शामिल थीं:

• सिग्नेचर-आधारित पहचान से बचने के लिए बनाए गए कमान एवं नियंत्रण पेलोड.

• DLL साइड-लोडिंग के ज़रिए चुपचाप कोड चलाना.

• थेमिडा की मदद से ज़रूरत के मुताबिक पैकिंग करके कोड को समझना मुश्किल बनाना.

• सिस्टम अधिकार बढ़ाना और पहचान से बचना.

• पोर्ट 80 पर HTTPS का इस्तेमाल.

• लॉगिन विवरण और सत्रों की चोरी.

• टेलीग्राम के ज़रिए हमलावर को सूचनाएँ भेजना.

• प्रॉक्सी के ज़रिए नेटवर्क यातायात को छिपाना.

हमलावर ने अपनी गतिविधियों को सुरक्षित रखने के प्रयास किए थे और मैलवेयर में भी पहचान से बचने के तंत्र मौजूद थे. फिर भी, बड़े पैमाने पर साइबर दुरुपयोग का पता लगाने की अपनी प्रक्रिया की बदौलत हम इस गतिविधि को पहचान सके. हमने दुर्भावनापूर्ण रिपॉज़िटरी को हटवाने के लिए कोड होस्टिंग प्रदाता के साथ समन्वय किया और इस गतिविधि से जुड़े सभी ChatGPT खातों पर प्रतिबंध लगा दिया.

खातों के इस समूह से मॉडल के साथ हुई बातचीत में सॉफ़्टवेयर विकास के कई तरह के काम शामिल थे. एक बातचीत में गो भाषा के कोड का एक अंश था, जिसमें हमलावर को HTTPS अनुरोध से जुड़ी समस्या आ रही थी. उसने मॉडल से उस त्रुटि को ठीक करने को कहा. एक अन्य मामले में, हमलावर ने गो के ज़रिए पावरशेल कमांड चलाकर विंडोज़ डिफ़ेंडर की सेटिंग बदलने में मदद माँगी. वह प्रोग्राम के ज़रिए एंटीवायरस जाँच से छूट देने वाले अपवाद जोड़ने का तरीका ढूँढ़ रहा था.

इन गतिविधियों के प्रतिनिधि उदाहरणों को LLM ATT&CK ढाँचे में इस तरह वर्गीकृत किया जा सकता है:

• python310.dll फ़ाइल को संकलित करने के लिए LLM का इस्तेमाल, ताकि जब भी python.exe चले, हमलावर का कोड भी चले: LLM की मदद से विकास.

• पोर्ट 80 पर HTTPS यातायात संभालने के लिए बनाए गए SSL/TLS प्रमाणपत्रों की त्रुटियाँ ठीक करना: LLM की मदद से विकास.

• मॉडल की मदद से फ़्लास्क-आधारित कमान एवं नियंत्रण सर्वर को वास्तविक संचालन के लिए तैयार WSGI सर्वर पर स्थानांतरित करना: LLM की मदद से विकास.

• विंडोज़ डिफ़ेंडर की सेटिंग बदलने और एंटीवायरस जाँच से छूट के अपवाद जोड़ने के लिए गो में पावरशेल कमांड विकसित करना: LLM की मदद से असामान्य गतिविधि की पहचान से बचने की क्षमता बढ़ाना.

• नए पीड़ित के सिस्टम में सेंध लगने पर हमलावर के नियंत्रण वाले टेलीग्राम चैनल को सूचना भेजने वाले कोड की त्रुटियाँ ठीक करना: LLM की मदद से सेंध लगने के बाद की गतिविधि.

इस चरण में, तेज़ी से सूचना देने और उद्योग के साझेदारों के साथ करीबी सहयोग से स्कोपक्रीप का प्रभाव संभवतः कम हुआ. इन साझेदारों ने दुर्भावनापूर्ण रिपॉज़िटरी को हटाने में सफलता पाई. हमने इस हमलावर द्वारा इस्तेमाल किए गए OpenAI खातों पर प्रतिबंध लगा दिया.

हमारा आकलन है कि इस हमलावर ने मैलवेयर बनाने के अपने काम को तेज़ करने के प्रयास में हमारे मॉडलों का इस्तेमाल किया. विडंबना यह है कि इससे हमें भी इस खतरे को तेज़ी से पहचानने और बाधित करने का मौका मिला, वह भी ऐसे समय में जब यह शुरुआती चरण में ही लग रहा था.

इस मैलवेयर की क्षमताओं में सिस्टम अधिकार बढ़ाना, स्थायी मौजूदगी बनाए रखना, लॉगिन विवरण जुटाना और दूर से सिस्टम तक पहुँच बनाना शामिल है, लेकिन इनमें खास नयापन नहीं है. यह मैलवेयर संभवतः वास्तविक हमलों में सक्रिय था और इसके कुछ नमूने वायरसटोटल पर भी दिखाई दिए. फिर भी, हमें इसमें व्यापक दिलचस्पी या इसके बड़े पैमाने पर फैलने का कोई प्रमाण नहीं मिला.