Kiberművelet: adathalászat és szkriptelés támogatása

Ez az esettanulmány eredetileg az OpenAI 2025. októberi⁠(új ablakban nyílik meg) jelentésében jelent meg.

Azonosítottuk és letiltottuk a ChatGPT‑fiókok egy csoportját, amely olyan tevékenységben vett részt, amely átfedést mutatott az iparágban UNK_DROPPITCH (Proofpoint), illetve UTA0388 (Volexity) néven nyomon követett fenyegető csoportokról szóló nyilvános jelentésekkel. Legalább egy esetben a ChatGPT‑fiók regisztrálásához használt e-mail-címet állítólag adathalász üzenetek küldésére is használták.

A fiókokat működtető fenyegető szereplők a KNK hírszerzési igényeit szolgáló kiberműveletekre jellemző jegyeket mutattak: kínai nyelvet használtak, és Tajvan félvezetőiparát, amerikai felsőoktatási intézményeket és agytrösztöket, valamint a KKP-t bíráló etnikai és politikai csoportokhoz kötődő szervezeteket vették célba. Ez utóbbiakat olykor „öt méregként” említik.

A modellünk nem biztosított új támadó képességeket. Úgy tűnik, az elkövetők elsősorban meglévő munkafolyamataik fokozatos hatékonyabbá tételére használták modelljeinket, különösen adathalász tartalmak készítésére, valamint eszközeik hibakeresésére és módosítására.

Az elkövetők két fő feladatra használták a ChatGPT‑t: többnyelvű – többek között egyszerűsített és hagyományos kínai, angol és japán nyelvű – tartalmak létrehozására adathalász kampányokhoz, illetve eszközök és kártevők fejlesztésének támogatására. Fejlesztési munkájuk technikailag hozzáértő, de nem kifinomult elkövetőre vallott. Például megvitatták az AES használatának több szempontját és árnyalatát a C2-forgalom védelmére, mégis egyszerű, statikus kulcsot használtak.

Az adathalász tartalmak létrehozásához használt forgatókönyvük részletes és sablonos volt, ami egy pontosan körülhatárolt demográfiai csoport célzására utalt. Jellemzően egy tudományos, iparági vagy konferencia-szereplő nevében írt tömör, hivatalosan udvarias e-mailt készíttettek. A fenyegető szereplők gyakran kérték a hangnem módosítását, egyes kifejezések regionális szóhasználathoz igazítását vagy konkrét intézményi hivatkozások hozzáadását. Bár ezek a célzott apró módosítások arra utalnak, hogy összehangolt erőfeszítéssel próbálták javítani kiinduló tartalmaik minőségét, a fenyegető szereplők nem javítottak ki néhány árulkodó részletet, például az aláírásblokkokban szereplő valószerűtlen kapcsolattartási mintaadatokat.

Kódrészleteket és ellenőrzőlistákat kértek a rutinfeladatok felgyorsításához. Kódot kértek titkosított átviteli módok (HTTPS, TLS) teszteléséhez egyszerű, jeladó jellegű lekérdezésekhez; Go- és PowerShell-kódrészleteket vázoltattak fel folyamatok felsorolására, végrehajthatófájl-név alapján történő leállítására vagy környezeti adatok gyűjtésére; továbbá széles körben elérhető keresőeszközöket építettek bash- és PowerShell-burkolószkriptekbe.

A modelltől egyszerű kódelrejtési és műveletbiztonsági (OPSEC) finomításokat is kértek: függvények átnevezését, fejlécek módosítását és karakterláncok elrejtését. Több munkameneten át alacsony vagy közepes fejlettségű kártevőkre jellemző, alapvető irányítási és vezérlési prototípusok felé haladtak. Ezek között szerepeltek életben tartó ciklusok, minimális HTTP(S)-alapú feladatkiadás, valamint JSON-alapú feladat- és eredményburkolók.

Az elkövető egyes Go-alapú fejlesztési tevékenységeinek megvalósítási részletei átfedést mutatnak az iparági jelentésekben GOVERSHELL (Volexity), illetve HealthKick (Proofpoint) néven nyomon követett kártevőkkel. Ez arra utal, hogy modelljeinkkel próbálták támogatni elsődleges kártevőjük fejlesztését.

A fedőszemélyiségek kidolgozása és az eszközfejlesztés mellett az elkövetők azt is vizsgálták, milyen további automatizálást valósíthatnának meg a DeepSeek segítségével. Ez a tömeges adathalászat automatizálását célzó felderítő munkára hasonlított: például webes tartalmak elemzésével automatikusan összeállították volna a megcélzandó e-mail-címek listáját, valamint az egyes azonosított potenciális célpontokat várhatóan érdeklő, generált tartalmakat. Nem tudjuk függetlenül megerősíteni, hogy az elkövetők megvalósították-e ezt az automatizálást, és ha igen, végül melyik modellt használták.

Az elkövetők modelljeinkkel próbálták megtervezni és több lépésben továbbfejleszteni a titkosított C2-összetevőket, a távoli parancsvégrehajtási munkafolyamatokat és a kulturálisan célzott kapcsolatfelvételt. Elsősorban a gyorsaságot és a lokalizációt értékelték, nem pedig az új támadó képességeket. Olyan modellkimeneteket hoztak létre, amelyek feltehetően a platformunkon kívüli tevékenységet támogatták több műveleti területen:

• Titkosított C2 és távoli végrehajtás: Go-alapú kliens-szerver kód megírására vagy javítására irányuló kérések, például AES-GCM üzenettitkosítással, munkamenetenkénti kulcscserével, rendszerinformációs jeladókkal, valamint PowerShell-parancsok szabványos webes protokollokon vagy WebSocket-alapú csatornán történő kiadására szolgáló szerverkonzollal.

• Forgalomvédelem és OPSEC-finomítások: a kérések között szerepelt a kód támogatása a titkosítatlan WebSocketről biztonságos WebSocketre (wss://), illetve HTTP-ről HTTPS-re való átálláshoz; a tanúsítvány-ellenőrzés letiltása egyes tesztekben; a forgalom elrejtése CDN-/TLS-előtét használatával; valamint nagyobb üzenetek kezelése a kliens összeomlása nélkül.

• Felderítés és folyamatvezérlés: PowerShell-alapú vírusirtó-felderítéssel és folyamatfelsorolással kapcsolatos információk, valamint meghatározott Edge- és WebView2-folyamatok leállítására irányuló kérések.

• Széles körben elérhető keresőeszközök beállítása: segítség nyílt forráskódú eszközök – például a nuclei és az fscan – kereskedelmi Linux-infrastruktúrán történő telepítéséhez és használatához, valamint az eredmények későbbi áttekintés céljából való mentéséhez.

• Adathalász és kapcsolatfelvételi tartalmak: meggyőző, többnyelvű e-mailek megfogalmazása tudományos vagy iparági kapcsolatok számára, a helyi normákhoz igazított tárgysorral és stílussal.

Ezek a tevékenységek több LLM ATT&CK-kategóriába sorolhatók, köztük az LLM-Optimized Payload Crafting, az LLM-Enhanced Anomaly-Detection Evasion, az LLM-Assisted Post-Compromise Activity, az LLM-Assisted Reconnaissance and Discovery és az LLM-Assisted Social Engineering kategóriába.

Letiltottuk a tevékenységhez kapcsolódó összes fiókot, a releváns indikátorokat pedig megosztottuk iparági partnereinkkel. Az elkövetők elsősorban meglévő munkafolyamataik fokozatos hatékonyabbá tételére törekedtek, többek között azonnal elküldhető adathalász e-mailek készítésével, valamint a rutinszerű kódolási és automatizálási feladatok iterációs ciklusainak lerövidítésével. Nem találtunk bizonyítékot arra, hogy a modellkimenetek a nyilvánosan jól dokumentált technikákon túlmutató képességeket tettek volna lehetővé; modellünk nem biztosított új támadó képességeket. Az elkövetők nyelvi gördülékenység, lokalizáció és kitartó támogatás révén próbáltak műveleti előnyhöz jutni a modell segítségével: feltehetően kevesebb nyelvi hibát, gyorsabban elkészülő összekötő kódot és hibák esetén gyorsabb módosításokat értek el.