«ScopeCreep» գործողություն. վնասաբեր ծրագրերի մշակում ռուսախոս հարձակվողի կողմից

Այս դեպքի ուսումնասիրությունն առաջին անգամ հրապարակվել է OpenAI-ի՝ 2025 թ. հունիսի⁠(բացվում է նոր պատուհանում) զեկույցում։

Մենք արգելափակել ենք ChatGPT‑ի հաշիվների մի խումբ, որոնք, ըստ երևույթին, գործարկվում էին ռուսախոս հարձակվողի կողմից։ Այս հարձակվողն օգտագործում էր մեր մոդելները՝ Windows-ի համար վնասաբեր ծրագրեր մշակելու և կատարելագործելու, տարբեր լեզուներով գրված կոդի սխալներն ուղղելու և իր հրամանավարման ու վերահսկման ենթակառուցվածքը կարգավորելու համար։

Հարձակվողը գիտելիքներ ուներ Windows-ի ներքին աշխատանքի մասին և որոշ միջոցներ էր ձեռնարկում իր գործողությունների անվտանգությունն ապահովելու համար։ Քանի որ գործողության առանցքում տրոյական ծրագրով վարակված՝ «նշանառության խաչ» ցուցադրող խաղային գործիքի օգտագործումն էր, իսկ կիրառվող մարտավարությունը՝ գաղտնի, մենք այն անվանել ենք «ScopeCreep»։

Այս հարձակվողը գործառնական անվտանգության նկատմամբ ուշագրավ մոտեցում ուներ։ Նա ժամանակավոր էլփոստի հասցեներով գրանցում էր ChatGPT‑ի հաշիվներ՝ յուրաքանչյուր հաշվում վարելով միայն մեկ զրույց՝ իր կոդում մեկ փոքր բարելավում կատարելու մասին։ Այնուհետև նա թողնում էր այդ հաշիվը և ստեղծում նորը։

Հարձակվողը ScopeCreep վնասաբեր ծրագիրը տարածում էր կոդի հանրային պահոցի միջոցով, որը ներկայանում էր որպես տեսախաղերում նշանառության խաչ ցուցադրող օրինական և տարածված գործիքի՝ Crosshair-X-ի պահոց։ Ոչինչ չկասկածող օգտատերերը, ներբեռնելով և գործարկելով վնասաբեր տարբերակը, իրենց համակարգում գործարկում էին վնասաբեր ծրագրի բեռնիչը, ինչի հետևանքով հարձակվողի ենթակառուցվածքից ներբեռնվում և գործարկվում էին լրացուցիչ վնասաբեր ֆայլեր։

Դրանից հետո վնասաբեր ծրագիրը նախատեսված էր սկսելու բազմափուլ գործընթաց՝ արտոնությունների բարձրացման, համակարգում գաղտնի և կայուն ներկայություն ապահովելու, հարձակվողին ծանուցելու և զգայուն տվյալներն արտահանելու համար՝ միաժամանակ խուսափելով հայտնաբերումից։

Հարձակվողն օգտագործում էր մեր մոդելը՝ վնասաբեր ծրագիրը քայլ առ քայլ մշակելու համար՝ շարունակաբար ChatGPT‑ին խնդրելով ավելացնել կոնկրետ գործառույթներ։ ScopeCreep-ում կիրառվում էին տարածման, գործարկման, հայտնաբերումից խուսափելու և տվյալների արտահանման տարբեր մեթոդներ, այդ թվում՝

• C2 վնասաբեր բաղադրիչներ՝ սիգնատուրաներով հայտնաբերումից խուսափելու համար։

• Գաղտնի գործարկում՝ DLL-ի կողմնակի բեռնման միջոցով։

• Կոդի քողարկում՝ Themida-ով հատուկ փաթեթավորման միջոցով։

• Արտոնությունների բարձրացում և հայտնաբերումից խուսափում։

• HTTPS՝ 80 պորտով։

• Մուտքային տվյալների և աշխատաշրջանների գողություն։

• Ծանուցումներ հարձակվողին՝ Telegram-ի միջոցով։

• Ցանցային տրաֆիկի քողարկում՝ պրոքսիի միջոցով։

Չնայած հարձակվողի՝ գործառնական անվտանգությունն ապահովելու ջանքերին և հենց վնասաբեր ծրագրում առկա՝ հայտնաբերումից խուսափելու մեխանիզմներին, մենք կարողացանք հայտնաբերել այս գործունեությունը՝ կիբեռչարաշահումների հայտնաբերման մեր լայնածավալ գործընթացի շնորհիվ։ Մենք համագործակցեցինք կոդի հոսթինգի ծառայություն մատուցողի հետ՝ վնասաբեր պահոցը հեռացնելու համար, և արգելափակեցինք այս գործունեության հետ կապված ChatGPT‑ի բոլոր հաշիվները։

Այս խմբի հաշիվներից մոդելի հետ փոխազդեցությունները ներառում էին ծրագրային մշակման տարաբնույթ առաջադրանքներ։ Դրանցից մեկում հարձակվողը ներկայացրել էր Go լեզվով կոդի մի հատված, որի HTTPS հարցման հետ խնդիր ուներ, և մոդելին խնդրել էր ուղղել սխալը։ Մեկ այլ դեպքում հարձակվողն օգնություն էր խնդրել Go-ի միջոցով PowerShell հրամաններ օգտագործելու հարցում՝ Windows Defender-ի կարգավորումները փոխելու համար. նա փնտրում էր հակավիրուսային ստուգման բացառությունները ծրագրային եղանակով ավելացնելու միջոց։

Այս գործողությունների բնորոշ օրինակները կարելի է դասակարգել ըստ LLM ATT&CK համակարգի հետևյալ կերպ՝

• LLM-ների օգտագործում՝ python310.dll ֆայլը կոմպիլացնելու համար, որպեսզի հարձակվողի կոդը կատարվի python.exe-ի յուրաքանչյուր գործարկման ժամանակ. մշակում՝ LLM-ի օգնությամբ։

• SSL/TLS հավաստագրերի հետ կապված սխալների վերացում՝ 80 պորտով HTTPS տրաֆիկը սպասարկելու համար. մշակում՝ LLM-ի օգնությամբ։

• Մոդելի օգնությամբ Flask-ի վրա հիմնված C2 սերվերից անցում իրական շահագործման համար պատրաստ WSGI սերվերի. մշակում՝ LLM-ի օգնությամբ։

• Go-ում PowerShell հրամանների մշակում՝ Windows Defender-ի կարգավորումները փոխելու և հակավիրուսային ստուգման բացառություններ ավելացնելու համար. անոմալիաների հայտնաբերումից խուսափելու կարողության բարելավում՝ LLM-ի միջոցով։

• Կոդի սխալների ուղղում՝ նոր զոհի համակարգ ներթափանցելու դեպքում հարձակվողի վերահսկած Telegram ալիքին ծանուցում ուղարկելու համար. ներթափանցմանը հաջորդող գործողություններ՝ LLM-ի օգնությամբ։

Այս փուլում ScopeCreep-ի ազդեցությունը հնարավոր է՝ մեղմվել է արագ հաղորդման և ոլորտի գործընկերների հետ սերտ համագործակցության շնորհիվ. նրանք կարողացել են հեռացնել վնասաբեր պահոցը։ Մենք արգելափակել ենք այս հարձակվողի օգտագործած OpenAI-ի հաշիվները։

Մեր գնահատմամբ՝ այս հարձակվողն օգտագործել է մեր մոդելները՝ փորձելով արագացնել վնասաբեր ծրագրերի մշակումը։ Պարադոքսալ է, բայց դա նաև մեզ հնարավորություն է տվել արագ հայտնաբերել և խափանել սպառնալիքը, ընդ որում՝ ըստ երևույթին դրա վաղ փուլերում։

Թեև այս վնասաբեր ծրագրի հնարավորությունները ներառում են արտոնությունների բարձրացում, համակարգում կայուն ներկայության ապահովում, մուտքային տվյալների հավաքում և հեռավար հասանելիություն, դրանք առանձնապես նորարարական չեն։ Թեև այս վնասաբեր ծրագիրը, հավանաբար, արդեն կիրառվում էր իրական միջավայրում, և որոշ նմուշներ հայտնվել էին VirusTotal-ում, մենք լայն հետաքրքրության կամ տարածման ապացույցներ չենք տեսել։