ოპერაცია „ScopeCreep“: მავნე პროგრამების შემუშავება რუსულენოვანი თავდამსხმელის მიერ

ეს შემთხვევის კვლევა თავდაპირველად OpenAI-ის 2025 წლის ივნისის⁠(იხსნება ახალ ფანჯარაში) ანგარიშში გამოქვეყნდა.

ჩვენ დავბლოკეთ ChatGPT‑ის ანგარიშების ჯგუფი, რომელსაც, როგორც ჩანს, რუსულენოვანი თავდამსხმელი მართავდა. თავდამსხმელი ჩვენს მოდელებს იყენებდა Windows-ისთვის მავნე პროგრამების შემუშავებისა და დახვეწის, სხვადასხვა ენაზე დაწერილ კოდში შეცდომების გასწორებისა და მართვისა და კონტროლის ინფრასტრუქტურის გამართვის დასახმარებლად.

თავდამსხმელი კარგად იცნობდა Windows-ის შიდა მექანიზმებს და ოპერაციული უსაფრთხოების გარკვეულ ზომებსაც მიმართავდა. ვინაიდან ოპერაცია ტროიანით ინფიცირებული სათამაშო „სამიზნის“ ხელსაწყოს გამოყენებასა და ფარულ ტაქტიკას ეფუძნებოდა, მას „ScopeCreep“ ვუწოდეთ.

ამ თავდამსხმელს ოპერაციული უსაფრთხოებისადმი საყურადღებო მიდგომა ჰქონდა. ChatGPT‑ის ანგარიშების შესაქმნელად ის დროებით ელფოსტის მისამართებს იყენებდა და თითოეულ ანგარიშზე მხოლოდ ერთ საუბარს მართავდა, რომელიც კოდში ერთი მცირე გაუმჯობესების შეტანას ეხებოდა. შემდეგ ამ ანგარიშს ტოვებდა და ახალს ქმნიდა.

თავდამსხმელი ScopeCreep-ის მავნე პროგრამას საჯაროდ ხელმისაწვდომი კოდის რეპოზიტორიუმის მეშვეობით ავრცელებდა. რეპოზიტორიუმი ვიდეოთამაშებში ეკრანზე სამიზნის გამოსატანი ლეგიტიმური და პოპულარული ხელსაწყოს (Crosshair-X) სახელით იყო შენიღბული. მომხმარებლები, რომლებიც საფრთხეს ვერ ამჩნევდნენ და მავნე ვერსიას ჩამოტვირთავდნენ და გაუშვებდნენ, თავიანთ სისტემაში მავნე პროგრამის ჩამტვირთავს აამოქმედებდნენ. შედეგად, თავდამსხმელის ინფრასტრუქტურიდან დამატებითი მავნე ფაილები იტვირთებოდა და სრულდებოდა.

ამის შემდეგ მავნე პროგრამას უნდა დაეწყო მრავალეტაპიანი პროცესი: აემაღლებინა პრივილეგიები, სისტემაში ფარულად დამკვიდრებულიყო, თავდამსხმელისთვის შეტყობინება გაეგზავნა და სენსიტიური მონაცემები გაეტანა ისე, რომ შეუმჩნეველი დარჩენილიყო.

თავდამსხმელი ჩვენს მოდელს მავნე პროგრამის ეტაპობრივად შემუშავებისთვის იყენებდა და ChatGPT‑ს მუდმივად სთხოვდა კონკრეტული დამატებითი ფუნქციების დანერგვას. ScopeCreep იყენებდა მიწოდების, კოდის შესრულების, აღმოჩენისგან თავის არიდებისა და მონაცემთა გატანის სხვადასხვა ტექნიკას, მათ შორის:

• მართვისა და კონტროლის (C2) მავნე კოდს, რომელიც სიგნატურებზე დაფუძნებული აღმოჩენისგან თავის ასარიდებლად იყო შექმნილი.

• კოდის ფარულ შესრულებას DLL-ის გვერდითი ჩატვირთვის გზით.

• კოდის შენიღბვას Themida-თი მორგებული შეფუთვის გზით.

• პრივილეგიების ამაღლებასა და აღმოჩენისგან თავის არიდებას.

• HTTPS-ის გამოყენებას მე-80 პორტზე.

• ავტორიზაციის მონაცემებისა და სესიების მოპარვას.

• თავდამსხმელისთვის შეტყობინებების გაგზავნას Telegram-ით.

• ტრაფიკის შენიღბვას პროქსის მეშვეობით.

მიუხედავად თავდამსხმელის მიერ ოპერაციული უსაფრთხოების დასაცავად მიღებული ზომებისა და თავად მავნე პროგრამაში ჩაშენებული აღმოჩენისგან თავის არიდების მექანიზმებისა, ჩვენი ფართომასშტაბიანი კიბერბოროტად გამოყენების გამოვლენის პროცესის წყალობით ეს აქტივობა აღმოვაჩინეთ. მავნე რეპოზიტორიუმის გასაუქმებლად კოდის ჰოსტინგის მომწოდებელთან ვითანამშრომლეთ და ამ აქტივობასთან დაკავშირებული ChatGPT‑ის ყველა ანგარიში დავბლოკეთ.

ანგარიშების ამ ჯგუფის მოდელთან ურთიერთობა პროგრამული შემუშავების მრავალფეროვან ამოცანებს მოიცავდა. ერთ საუბარში თავდამსხმელმა Go-ზე დაწერილი კოდის ფრაგმენტი წარადგინა, რომელშიც HTTPS-მოთხოვნის შესრულება უჭირდა, და მოდელს შეცდომის გასწორება სთხოვა. სხვა შემთხვევაში თავდამსხმელმა დახმარება ითხოვა Go-ს მეშვეობით PowerShell-ის ბრძანებების გამოყენებაში Windows Defender-ის პარამეტრების შესაცვლელად. ის ანტივირუსის გამონაკლისების პროგრამულად დამატების გზას ეძებდა.

ამ აქტივობების დამახასიათებელი მაგალითები LLM ATT&CK-ის ჩარჩოს შემდეგნაირად შეესაბამება:

• LLM-ების გამოყენება python310.dll ფაილის კომპილაციისთვის ისე, რომ თავდამსხმელის კოდი python.exe-ის ყოველი გაშვებისას შესრულდეს: პროგრამული შემუშავება LLM-ის დახმარებით.

• იმ SSL/TLS სერტიფიკატებთან დაკავშირებული შეცდომების გასწორება, რომლებიც მე-80 პორტზე HTTPS ტრაფიკის მომსახურებისთვისაა განკუთვნილი: პროგრამული შემუშავება LLM-ის დახმარებით.

• მოდელის დახმარებით Flask-ზე დაფუძნებული C2 სერვერის გადატანა სამუშაო გარემოსთვის მზადმყოფ WSGI სერვერზე: პროგრამული შემუშავება LLM-ის დახმარებით.

• Go-ში PowerShell-ის ბრძანებების შემუშავება Windows Defender-ის პარამეტრების შესაცვლელად და ანტივირუსის გამონაკლისების დასამატებლად: LLM-ის გამოყენებით ანომალიების აღმოჩენისგან თავის არიდების გაუმჯობესება.

• შეცდომების გასწორება კოდში, რომელიც ახალი მსხვერპლის სისტემაში შეღწევისას თავდამსხმელის მიერ კონტროლირებულ Telegram-არხზე შეტყობინებას აგზავნის: სისტემაში შეღწევის შემდგომი აქტივობა LLM-ის დახმარებით.

ამ ეტაპზე ScopeCreep-ის გავლენა შესაძლოა შეემცირებინა სწრაფ შეტყობინებასა და ინდუსტრიის იმ პარტნიორებთან მჭიდრო თანამშრომლობას, რომლებმაც მავნე რეპოზიტორიუმის გაუქმება შეძლეს. ჩვენ დავბლოკეთ OpenAI-ის ანგარიშები, რომლებსაც ეს თავდამსხმელი იყენებდა.

ჩვენი შეფასებით, თავდამსხმელი ჩვენი მოდელების გამოყენებით მავნე პროგრამების შემუშავების დაჩქარებას ცდილობდა. პარადოქსულია, მაგრამ ამან საფრთხის სწრაფად გამოვლენისა და აღკვეთის შესაძლებლობაც მოგვცა, თანაც, როგორც ჩანს, მის ადრეულ ეტაპზე.

მართალია, ამ მავნე პროგრამის შესაძლებლობები მოიცავს პრივილეგიების ამაღლებას, სისტემაში დამკვიდრებას, ავტორიზაციის მონაცემების შეგროვებასა და დისტანციურ წვდომას, თუმცა ეს განსაკუთრებული სიახლე არ არის. მიუხედავად იმისა, რომ ეს მავნე პროგრამა, სავარაუდოდ, რეალურ გარემოში უკვე მოქმედებდა და მისი ზოგიერთი ნიმუში VirusTotal-ზეც გამოჩნდა, მის მიმართ ფართო ინტერესის ან მისი ფართოდ გავრცელების მტკიცებულება არ გვინახავს.