SweetSpecter: चीन से जुड़ी साइबर गतिविधि

यह केस अध्ययन मूल रूप से OpenAI की अक्टूबर 2024⁠(एक नई विंडो में खुलेगा) की रिपोर्ट में प्रकाशित हुआ था.

हमने ऐसे खातों की पहचान करके उन्हें प्रतिबंधित किया, जो एक विश्वसनीय स्रोत के आकलन के अनुसार संभवतः चीन में स्थित एक संदिग्ध हमलावर से जुड़े थे. ये खाते हमारे मॉडल का उपयोग साइबर हमलों में सहायता के लिए करने की कोशिश कर रहे थे. साथ ही, यह हमलावर हमारे कर्मचारियों और दुनिया भर की सरकारों के ख़िलाफ़ लक्षित फ़िशिंग हमले भी कर रहा था. सार्वजनिक रूप से SweetSpecter नाम से पहचाना जाने वाला यह हमलावर 2023 में सामने आया था. हमारी जानकारी के अनुसार, यह पहली बार है जब सार्वजनिक रूप से पता चला है कि इसके निशाने पर अमेरिका की एक एआई कंपनी भी है. पिछली रिपोर्टों के अनुसार, इसकी गतिविधियाँ मध्य पूर्व, अफ़्रीका और एशिया के राजनीतिक संगठनों पर केंद्रित थीं.

मई 2024 में हमें एक विश्वसनीय स्रोत से सूचना मिली कि उनकी सुरक्षा टीम ने SweetSpecter को हमारे कुछ कर्मचारियों के दफ़्तर और निजी, दोनों ईमेल खातों पर दुर्भावनापूर्ण संलग्नकों वाले लक्षित फ़िशिंग ईमेल भेजते देखा था.

इन ईमेल में SweetSpecter ने खुद को ChatGPT का उपयोगकर्ता बताकर निशाना बनाए गए कर्मचारियों से सहायता माँगी थी. इन ईमेल में “some problems.zip” नाम का एक दुर्भावनापूर्ण संलग्नक था, जिसमें एक LNK फ़ाइल थी. इस फ़ाइल में ऐसा कोड था, जो फ़ाइल खोले जाने पर उपयोगकर्ता को एक DOCX फ़ाइल दिखाता. इसमें ChatGPT के प्रतीत होने वाले विभिन्न त्रुटि और सेवा संदेशों की सूची थी. हालाँकि, पृष्ठभूमि में SugarGh0st RAT नाम का विंडोज़ मैलवेयर डिक्रिप्ट होकर चलने लगता. इस मैलवेयर को इस तरह बनाया गया है कि SweetSpecter संक्रमित मशीन पर नियंत्रण हासिल कर सके और मनचाहे कमांड चलाने, स्क्रीनशॉट लेने और डेटा चुराने जैसे काम कर सके.

OpenAI की सुरक्षा टीम ने उन कर्मचारियों से संपर्क किया जिनके इस लक्षित फ़िशिंग अभियान का निशाना बनने की आशंका थी. टीम ने पाया कि मौजूदा सुरक्षा उपायों ने इन ईमेल को उनके दफ़्तर के ईमेल खातों तक पहुँचने ही नहीं दिया था.

इस पूरी प्रक्रिया में, उद्योग के साझेदारों के साथ हमारे सहयोग ने कर्मचारी खातों में सेंध लगाने की इन नाकाम कोशिशों की पहचान करने में अहम भूमिका निभाई. यह दिखाता है कि एआई के दौर में उन्नत तकनीकों से लैस हमलावरों से आगे रहने के लिए ख़तरों से जुड़ी खुफ़िया जानकारी साझा करना और मिलकर काम करना कितना ज़रूरी है. साझा जानकारियों और सामूहिक विशेषज्ञता का उपयोग करके हम अपने संसाधनों की बेहतर सुरक्षा कर सकते हैं और ऐसी गतिविधियों से जुड़े अपने मंच के खातों का संचालन रोक सकते हैं.

इस अभियान को सहारा देने वाले व्यापक तकनीकी ढाँचे का विश्लेषण करते समय हमें ChatGPT खातों का एक समूह मिला, जिसका संचालन हमने रोक दिया. ये खाते उसी ढाँचे का उपयोग करके सवालों के जवाब पाने, स्क्रिप्ट लिखने और सुरक्षा कमज़ोरियों पर शोध करने की कोशिश कर रहे थे. हमने इन संवादों का मिलान LLM से जुड़ी उन रणनीतियों, तकनीकों और प्रक्रियाओं से किया, जिन्हें माइक्रोसॉफ़्ट ने इस साल की शुरुआत में MITRE ATT&CK^® रूपरेखा में शामिल करने का प्रस्ताव दिया था. MITRE रूपरेखा साइबर हमलावरों की वास्तविक दुनिया में इस्तेमाल की जाने वाली रणनीतियों और तकनीकों को दर्ज करती है. इन मिलानों की सूची के ज़रिए हमारा उद्देश्य व्यापक साइबर सुरक्षा समुदाय को देखी गई रणनीतियों, तकनीकों और प्रक्रियाओं की जानकारी देना और साइबर सुरक्षा को अधिक प्रभावी बनाने में मदद करना है.

इन रणनीतियों, तकनीकों और प्रक्रियाओं से मेल खाने वाली SweetSpecter की गतिविधियों के कुछ उदाहरण नीचे दिए गए हैं:

इस पूरी जाँच के दौरान, हमारी सुरक्षा टीमों ने हमलावर के खातों से हुए संवादों का विश्लेषण, वर्गीकरण, अनुवाद और सारांश तैयार करने के लिए ChatGPT का इस्तेमाल किया. इससे हम बड़े डेटा संग्रहों से तेज़ी से उपयोगी जानकारी निकाल सके और इस काम के लिए ज़रूरी संसाधनों का इस्तेमाल भी कम से कम रहा. हमें उम्मीद है कि जैसे-जैसे हमारे मॉडल अधिक उन्नत होंगे, हम ChatGPT की मदद से कर्मचारियों को भेजे गए दुर्भावनापूर्ण संलग्नकों की आंतरिक बनावट और कार्यप्रणाली को समझकर उनका विश्लेषण भी कर सकेंगे.

हमारी पहली ख़तरा रिपोर्ट के निष्कर्षों की तरह ही, इस बार भी ऐसा नहीं लगा कि हमारे मॉडल के इस्तेमाल से अभियान चलाने वालों को कोई ऐसी नई क्षमताएँ या दिशा मिली हो, जो उन्हें सार्वजनिक रूप से उपलब्ध कई अन्य संसाधनों से न मिल सकती हो. हमारे सुरक्षा तंत्रों ने हमलावर के दुर्भावनापूर्ण ईमेल को कर्मचारियों के इनबॉक्स तक पहुँचने से पहले ही रोक दिया.