Aðgerðin „ScopeCreep“: Þróun spilliforrita á rússnesku

Þessi tilviksrannsókn birtist upphaflega í skýrslu OpenAI frá júní 2025⁠(opnast í nýjum glugga).

Við lokuðum fyrir hóp ChatGPT‑reikninga sem virtust vera í umsjón rússneskumælandi árásaraðila. Þessi aðili notaði líkönin okkar til að aðstoða við þróun og endurbætur á spilliforritum fyrir Windows, villuleit í kóða á mörgum forritunarmálum og uppsetningu stjórn- og stýriinnviða.

Aðilinn sýndi þekkingu á innri virkni Windows og beitti tilteknum öryggisráðstöfunum til að leyna starfseminni. Þar sem starfsemin snerist um að nota leikjatól með „miðunarkrossi“ sem hafði verið sýkt með trójuhesti, ásamt aðferðum til að fara leynt, höfum við gefið henni heitið „ScopeCreep“.

Þessi árásaraðili beitti athyglisverðri nálgun við að halda starfseminni leyndri. Hann notaði tímabundin netföng til að stofna ChatGPT‑reikninga og takmarkaði notkun hvers reiknings við eitt samtal um eina afmarkaða endurbót á kóðanum. Síðan hætti hann að nota reikninginn og stofnaði nýjan.

Aðilinn dreifði ScopeCreep-spilliforritinu í gegnum opinbera kóðageymslu sem þóttist hýsa lögmætt og vinsælt tól (Crosshair-X) sem birtir miðunarkross yfir tölvuleikjum. Grunlausir notendur sem sóttu og keyrðu skaðlegu útgáfuna ræstu þar með hleðsluforrit spilliforritsins á tölvum sínum. Það sótti síðan fleiri skaðlegar skrár frá innviðum árásaraðilans og keyrði þær.

Þaðan átti spilliforritið að hefja ferli í mörgum þrepum til að auka aðgangsheimildir, tryggja varanlega og leynda viðveru, láta árásaraðilann vita og senda viðkvæm gögn úr kerfinu án þess að upp kæmist.

Árásaraðilinn notaði líkanið okkar til að þróa spilliforritið ítrekað áfram með því að biðja ChatGPT sífellt um að bæta við tilteknum eiginleikum. Í ScopeCreep var beitt margvíslegum aðferðum við dreifingu, keyrslu, undanskot frá greiningu og gagnaþjófnað, meðal annars:

• Skaðlegum C2-kóða sem var hannaður til að komast hjá greiningu byggðri á þekktum einkennum.

• Leyndri keyrslu með hliðhleðslu DLL-skráa.

• Dulun með sérsniðinni pökkun með Themida.

• Aukningu aðgangsheimilda og undanskotum frá greiningu.

• HTTPS yfir gátt 80.

• Þjófnaði á auðkenningarupplýsingum og setum.

• Tilkynningum til árásaraðilans í gegnum Telegram.

• Dulun netumferðar með milliþjónum.

Þrátt fyrir tilraunir árásaraðilans til að halda starfseminni leyndri og aðferðir spilliforritsins sjálfs til að komast hjá greiningu tókst okkur að greina starfsemina með ferli okkar sem greinir netmisnotkun í stórum stíl. Við unnum með hýsingaraðila kóðans að því að fjarlægja skaðlegu geymsluna og lokuðum fyrir alla ChatGPT‑reikninga sem tengdust þessari starfsemi.

Samskipti þessa hóps reikninga við líkanið náðu yfir fjölbreytt þróunarverkefni. Í einu tilviki sendi árásaraðilinn bút af Go-kóða þar sem HTTPS-beiðni olli vandræðum og bað líkanið að villuleita hann. Í öðru tilviki bað árásaraðilinn um aðstoð við að nota PowerShell-skipanir í gegnum Go til að breyta stillingum Windows Defender. Hann leitaði leiðar til að bæta við undanþágum frá vírusvörn með forritun.

Dæmigerð tilvik úr þessari starfsemi má flokka samkvæmt LLM ATT&CK-rammanum á eftirfarandi hátt:

• Notkun LLM til að þýða skrána python310.dll þannig að kóði aðilans sé keyrður í hvert sinn sem python.exe keyrir: þróun með aðstoð LLM.

• Villuleit vegna SSL/TLS-vottorða sem ætlað er að þjóna HTTPS-umferð á gátt 80: þróun með aðstoð LLM.

• Flutningur C2-þjóns sem byggir á Flask yfir á WSGI-þjón sem er tilbúinn til rekstrar, með aðstoð líkans: þróun með aðstoð LLM.

• Þróun PowerShell-skipana í Go til að breyta stillingum Windows Defender og bæta við undanþágum frá vírusvörn: undanskot frá frávikagreiningu með aðstoð LLM.

• Villuleit í kóða sem sendir tilkynningu á Telegram-rás undir stjórn árásaraðilans þegar brotist er inn hjá nýju fórnarlambi: aðgerðir eftir innbrot með aðstoð LLM.

Á þessu stigi gætu skjót tilkynning og náið samstarf við samstarfsaðila í greininni, sem gátu fjarlægt skaðlegu geymsluna, hafa dregið úr áhrifum ScopeCreep. Við lokuðum fyrir OpenAI-reikningana sem þessi árásaraðili notaði.

Við metum það svo að þessi árásaraðili hafi notað líkönin okkar til að reyna að hraða þróun spilliforrita sinna. Það varð hins vegar einnig til þess að við fengum tækifæri til að greina ógnina og stöðva hana fljótt, að því er virtist á fyrstu stigum hennar.

Þótt spilliforritið geti meðal annars aukið aðgangsheimildir, viðhaldið viðveru í kerfum, safnað auðkenningarupplýsingum og veitt fjaraðgang er ekkert af þessu sérlega nýstárlegt. Þótt spilliforritið hafi líklega verið í virkri dreifingu og nokkur sýni hafi birst á VirusTotal sáum við engin merki um útbreiddan áhuga eða víðtæka dreifingu.