Netaðgerð: Stuðningur við vefveiðar og skriftugerð

Þessi tilviksrannsókn birtist upphaflega í skýrslu OpenAI frá október 2025⁠(opnast í nýjum glugga).

Við fundum og bönnuðum hóp ChatGPT‑reikninga sem tengdust starfsemi er skaraðist við opinberar umfjallanir um ógnarhópa sem nefnast UNK_DROPPITCH (Proofpoint) og UTA0388 (Volexity) innan greinarinnar. Í að minnsta kosti einu tilviki hafði netfangið sem var notað til að skrá ChatGPT‑reikning að sögn einnig verið notað til að senda vefveiðiskilaboð.

Ógnaraðilarnir sem stýrðu þessum reikningum sýndu einkenni netaðgerða í þágu leyniþjónustumarkmiða Kína: þeir notuðu kínversku og beindu sjónum að hálfleiðarageira Taívans, bandarísku háskólasamfélagi og hugveitum, auk samtaka sem tengjast þjóðernis- og stjórnmálahópum er gagnrýna Kommúnistaflokk Kína og eru stundum nefndir „eitrin fimm“.

Líkan okkar bætti ekki við nýrri getu til árása. Rekstraraðilarnir virðast einkum hafa notað líkön okkar til að auka skilvirkni núverandi verkferla, sérstaklega við gerð vefveiðiefnis og aflúsun eða breytingar á verkfærum sínum.

Ógnaraðilarnir notuðu ChatGPT einkum í tvennum tilgangi: til að búa til efni fyrir vefveiðiherferðir á mörgum tungumálum, þar á meðal einfaldaðri og hefðbundinni kínversku, ensku og japönsku, og til aðstoðar við þróun verkfæra og spilliforrita. Þróunarvinnan bar vott um tæknilega færan en ekki sérlega háþróaðan aðila. Til dæmis ræddu þeir ýmsar hliðar og blæbrigði þess að nota AES til að tryggja C2-umferð en notuðu þó einfaldan, fastan lykil.

Vinnuaðferð ógnaraðilanna við gerð vefveiðiefnis var ítarleg og formúlukennd, sem samræmdist því að henni væri beint að þröngt skilgreindum lýðfræðihópi. Yfirleitt létu þeir semja hnitmiðaðan og formlega kurteisan tölvupóst í nafni persónu úr háskóla-, atvinnu- eða ráðstefnuumhverfi. Ógnaraðilarnir báðu oft um að tónninn yrði lagaður, orðalagi breytt að svæðisbundinni málvenju eða tilteknum tilvísunum í stofnanir bætt við. Þótt þessar markvissu smábreytingar bendi til einbeitts ásetnings um að bæta upphaflega efnið tókst ógnaraðilunum ekki að leiðrétta ýmis atriði sem komu upp um þá, svo sem ósennilegar sýnishornsupplýsingar um tengiliði í undirskriftum.

Þeir báðu um kóðabúta og gátlista sem gætu flýtt fyrir reglubundnum verkefnum. Þeir óskuðu eftir kóða til að prófa dulkóðaðar flutningsleiðir (HTTPS, TLS) fyrir einfaldar, reglubundnar vitjanir; drögum að Go- og PowerShell-kóðabútum til að telja upp ferli, stöðva þau eftir heiti keyrsluskrár eða safna upplýsingum um umhverfið; og tengdu almenn skönnunarverkfæri við bash-/PowerShell-umbúðir.

Þeir báðu líkanið einnig um einfaldar tillögur að feluaðferðum og úrbótum á aðgerðaleynd (OPSEC), svo sem að endurnefna föll, breyta hausum eða fela strengi. Í mörgum lotum unnu þeir að einföldum frumgerðum stjórn- og stýrikerfa sem samræmdust spilliforritum á lágu til miðlungs þróunarstigi, meðal annars með tengiviðhaldsslaufum, lágmarksverkbeiðnum yfir HTTP(S) og JSON-umbúðum fyrir verk og niðurstöður.

Útfærsluatriði í hluta Go-þróunarvinnu aðilans skarast við umfjöllun greinarinnar um spilliforritin GOVERSHELL (Volexity) og HealthKick (Proofpoint). Það bendir til þess að líkön hafi verið notuð til að styðja þróun helsta spilliforrits þeirra.

Samhliða vinnu við þessar persónugervingar og þróun verkfæra könnuðu rekstraraðilarnir frekari sjálfvirknimöguleika með DeepSeek. Starfsemin líktist könnunarvinnu til að gera vefveiðar í stórum stíl sjálfvirkar, til dæmis með því að greina vefefni og útbúa sjálfkrafa lista yfir tölvupóstviðtakendur ásamt sérsniðnu efni sem líklegt væri að vekti áhuga hvers mögulegs skotmarks. Við getum ekki staðfest með óháðum hætti hvort aðilarnir hrintu slíkri sjálfvirkni í framkvæmd eða hvaða líkan þeir notuðu að lokum, hafi þeir gert það.

Aðilarnir reyndu að nota líkön okkar til að skipuleggja og þróa ítrekað dulkóðaða C2-íhluti, verkferla fyrir fjarframkvæmd skipana og menningarlega staðfærð samskipti. Þeir lögðu fyrst og fremst áherslu á hraða og staðfæringu fremur en nýja getu til árása. Þeir létu líkönin búa til úttak sem virtist ætlað til að styðja starfsemi utan vettvangs okkar á ýmsum aðgerðasviðum:

• Dulkóðuð C2-stýring og fjarframkvæmd: beiðnir um að semja eða lagfæra Go-kóða fyrir biðlara og þjón með dulkóðun skilaboða á borð við AES-GCM, endurnýjun setulykla, kerfisupplýsingavita og stjórnborð þjóns til að senda PowerShell-skipanir um staðlaðar vefsamskiptareglur eða WebSocket-rás.

• Umferðarvernd og OPSEC-breytingar: meðal beiðna var kóði til að færa sig úr óvörðum WebSocket-tengingum yfir í öruggar WebSocket-tengingar (wss://) og úr HTTP yfir í HTTPS; slökkva á vottorðsprófun í sumum prófunum; láta umferð renna saman við aðra umferð með CDN-/TLS-framenda; og meðhöndla stærri skilaboð án þess að biðlarar hryndu.

• Könnun og ferlastýring: beiðnir um upplýsingar sem tengdust leit að vírusvörnum með PowerShell, upptalningu ferla og stöðvun tiltekinna Edge-/WebView2-ferla.

• Uppsetning almennra skannara: leiðbeiningar um uppsetningu og notkun opins hugbúnaðar á borð við nuclei og fscan á Linux-innviðum í atvinnuskyni og um vistun niðurstaðna til síðari yfirferðar.

• Vefveiðar og samskiptaefni: gerð sannfærandi tölvupósta á mörgum tungumálum til tengiliða í háskóla- eða atvinnulífi, þar á meðal efnislína og stíls sem lagaður var að staðbundnum venjum.

Þessi starfsemi fellur undir LLM ATT&CK-flokka, þar á meðal LLM-Optimized Payload Crafting, LLM-Enhanced Anomaly-Detection Evasion, LLM-Assisted Post-Compromise Activity, LLM-Assisted Reconnaissance and Discovery og LLM-Assisted Social Engineering.

Við gerðum alla reikninga sem tengdust þessari starfsemi óvirka og deildum viðeigandi vísbendingum með samstarfsaðilum í greininni. Aðilarnir sóttust fyrst og fremst eftir aukinni skilvirkni í núverandi verkferlum, meðal annars með gerð vefveiðitölvupósta sem voru tilbúnir til sendingar og styttri þróunarlotum fyrir hefðbundinn kóða og sjálfvirkni. Við sáum engar vísbendingar um að úttak líkansins hefði gert mögulega getu umfram vel skjalfestar, opinberar aðferðir. Líkan okkar bætti ekki við nýrri getu til árása. Ávinningurinn sem sóst var eftir með aðstoð líkansins fólst í tungumálafærni, staðfæringu og þrautseigju: líklega færri málvillum, hraðari tengikóða og skjótari breytingum þegar eitthvað brást.