“ಸ್ಕೋಪ್‌ಕ್ರೀಪ್” ಕಾರ್ಯಾಚರಣೆ: ರಷ್ಯನ್ ಭಾಷಿಕರಿಂದ ದುರುದ್ದೇಶಪೂರಿತ ತಂತ್ರಾಂಶ ಅಭಿವೃದ್ಧಿ

ಈ ಪ್ರಕರಣ ಅಧ್ಯಯನವನ್ನು ಮೂಲತಃ OpenAI ಸಂಸ್ಥೆಯ ಜೂನ್ 2025ರ⁠(ಹೊಸ ಕಿಟಕಿಯಲ್ಲಿ ತೆರೆಯುತ್ತದೆ) ವರದಿಯಲ್ಲಿ ಪ್ರಕಟಿಸಲಾಗಿತ್ತು.

ರಷ್ಯನ್ ಭಾಷೆ ಮಾತನಾಡುವ ದುಷ್ಕರ್ಮಿಯೊಬ್ಬರು ನಿರ್ವಹಿಸುತ್ತಿದ್ದಂತೆ ಕಂಡುಬಂದ ChatGPT ಖಾತೆಗಳ ಗುಂಪನ್ನು ನಾವು ನಿಷೇಧಿಸಿದ್ದೇವೆ. ಈ ದುಷ್ಕರ್ಮಿಯು Windows ದುರುದ್ದೇಶಪೂರಿತ ತಂತ್ರಾಂಶವನ್ನು ಅಭಿವೃದ್ಧಿಪಡಿಸಲು ಮತ್ತು ಸುಧಾರಿಸಲು, ಹಲವು ಭಾಷೆಗಳಲ್ಲಿನ ಕೋಡ್ ದೋಷಗಳನ್ನು ಸರಿಪಡಿಸಲು ಹಾಗೂ ತಮ್ಮ ಆದೇಶ ಮತ್ತು ನಿಯಂತ್ರಣ ಮೂಲಸೌಕರ್ಯವನ್ನು ಸ್ಥಾಪಿಸಲು ನಮ್ಮ ಮಾಡೆಲ್‌ಗಳ ನೆರವು ಪಡೆದಿದ್ದರು.

ಈ ದುಷ್ಕರ್ಮಿಗೆ Windows ಆಂತರಿಕ ಕಾರ್ಯವಿಧಾನಗಳ ತಿಳಿವಳಿಕೆ ಇತ್ತು ಮತ್ತು ತಮ್ಮ ಚಟುವಟಿಕೆಗಳ ಸುರಕ್ಷತೆಗಾಗಿ ಕೆಲವು ಮುನ್ನೆಚ್ಚರಿಕೆಗಳನ್ನು ಅನುಸರಿಸುತ್ತಿದ್ದರು. ಟ್ರೋಜನ್ ಸೇರಿಸಲಾದ “ಗುರಿ ಗುರುತು” ಗೇಮಿಂಗ್ ಸಾಧನದ ಬಳಕೆಗೆ ಈ ಕಾರ್ಯಾಚರಣೆ ನೀಡಿದ ಒತ್ತು ಮತ್ತು ಅದರ ರಹಸ್ಯ ತಂತ್ರಗಳ ಆಧಾರದ ಮೇಲೆ ನಾವು ಇದಕ್ಕೆ “ಸ್ಕೋಪ್‌ಕ್ರೀಪ್” ಎಂದು ಹೆಸರಿಸಿದ್ದೇವೆ.

ತಮ್ಮ ಚಟುವಟಿಕೆಗಳ ಸುರಕ್ಷತೆಯ ವಿಷಯದಲ್ಲಿ ಈ ದುಷ್ಕರ್ಮಿಯ ವಿಧಾನ ಗಮನಾರ್ಹವಾಗಿತ್ತು. ಅವರು ತಾತ್ಕಾಲಿಕ ಇಮೇಲ್ ವಿಳಾಸಗಳನ್ನು ಬಳಸಿ ChatGPT ಖಾತೆಗಳನ್ನು ತೆರೆಯುತ್ತಿದ್ದರು. ಪ್ರತಿ ChatGPT ಖಾತೆಯ ಬಳಕೆಯನ್ನು ತಮ್ಮ ಕೋಡ್‌ನಲ್ಲಿ ಒಂದು ಸಣ್ಣ ಸುಧಾರಣೆ ಮಾಡುವ ಕುರಿತ ಒಂದೇ ಸಂಭಾಷಣೆಗೆ ಸೀಮಿತಗೊಳಿಸುತ್ತಿದ್ದರು. ನಂತರ ಆ ಖಾತೆಯನ್ನು ಬಿಟ್ಟು ಹೊಸದೊಂದನ್ನು ಸೃಷ್ಟಿಸುತ್ತಿದ್ದರು.

ವಿಡಿಯೊ ಆಟಗಳಲ್ಲಿ ಗುರಿ ಗುರುತನ್ನು ಪರದೆಯ ಮೇಲೆ ತೋರಿಸುವ ಜನಪ್ರಿಯ, ಅಧಿಕೃತ ಸಾಧನವಾದ Crosshair-X ಎಂದು ಬಿಂಬಿಸಿಕೊಂಡ ಸಾರ್ವಜನಿಕ ಕೋಡ್ ರಿಪೊಸಿಟರಿಯ ಮೂಲಕ ಈ ದುಷ್ಕರ್ಮಿಯು ಸ್ಕೋಪ್‌ಕ್ರೀಪ್ ದುರುದ್ದೇಶಪೂರಿತ ತಂತ್ರಾಂಶವನ್ನು ವಿತರಿಸುತ್ತಿದ್ದರು. ಅನುಮಾನಪಡದೆ ಈ ದುರುದ್ದೇಶಪೂರಿತ ಆವೃತ್ತಿಯನ್ನು ಡೌನ್‌ಲೋಡ್ ಮಾಡಿ ಚಲಾಯಿಸಿದ ಬಳಕೆದಾರರ ವ್ಯವಸ್ಥೆಯಲ್ಲಿ ದುರುದ್ದೇಶಪೂರಿತ ತಂತ್ರಾಂಶವನ್ನು ಲೋಡ್ ಮಾಡುವ ಪ್ರೋಗ್ರಾಂ ಪ್ರಾರಂಭವಾಗುತ್ತಿತ್ತು. ಇದರಿಂದ ದಾಳಿಕೋರರ ಮೂಲಸೌಕರ್ಯದಿಂದ ಮತ್ತಷ್ಟು ದುರುದ್ದೇಶಪೂರಿತ ಫೈಲ್‌ಗಳು ಡೌನ್‌ಲೋಡ್ ಆಗಿ ಕಾರ್ಯಗತಗೊಳ್ಳುತ್ತಿದ್ದವು.

ಅಲ್ಲಿಂದ ಮುಂದೆ, ಪತ್ತೆಯಾಗದಂತೆ ಪ್ರವೇಶಾಧಿಕಾರಗಳನ್ನು ಹೆಚ್ಚಿಸಿಕೊಳ್ಳಲು, ಗುಟ್ಟಾಗಿ ವ್ಯವಸ್ಥೆಯಲ್ಲಿ ನೆಲೆಯೂರಲು, ದುಷ್ಕರ್ಮಿಗೆ ಸೂಚನೆ ಕಳುಹಿಸಲು ಮತ್ತು ಸೂಕ್ಷ್ಮ ದತ್ತಾಂಶವನ್ನು ಹೊರಸಾಗಿಸಲು ಬಹುಹಂತದ ಪ್ರಕ್ರಿಯೆಯನ್ನು ಪ್ರಾರಂಭಿಸುವಂತೆ ಈ ದುರುದ್ದೇಶಪೂರಿತ ತಂತ್ರಾಂಶವನ್ನು ವಿನ್ಯಾಸಗೊಳಿಸಲಾಗಿತ್ತು.

ನಿರ್ದಿಷ್ಟ ಹೆಚ್ಚುವರಿ ವೈಶಿಷ್ಟ್ಯಗಳನ್ನು ಅಳವಡಿಸುವಂತೆ ChatGPT ಅನ್ನು ನಿರಂತರವಾಗಿ ಕೇಳುವ ಮೂಲಕ ಈ ದುಷ್ಕರ್ಮಿಯು ದುರುದ್ದೇಶಪೂರಿತ ತಂತ್ರಾಂಶವನ್ನು ಹಂತಹಂತವಾಗಿ ಅಭಿವೃದ್ಧಿಪಡಿಸಲು ನಮ್ಮ ಮಾಡೆಲ್‌ನ ನೆರವು ಪಡೆದಿದ್ದರು. ವಿತರಣೆ, ಕಾರ್ಯಗತಗೊಳಿಸುವಿಕೆ, ಪತ್ತೆಯಿಂದ ತಪ್ಪಿಸಿಕೊಳ್ಳುವಿಕೆ ಮತ್ತು ದತ್ತಾಂಶ ಹೊರಸಾಗಿಸುವಿಕೆಗೆ ಸ್ಕೋಪ್‌ಕ್ರೀಪ್ ಹಲವು ತಂತ್ರಗಳನ್ನು ಬಳಸಿತ್ತು. ಅವುಗಳಲ್ಲಿ ಇವು ಸೇರಿವೆ:

• ಗುರುತು ಮಾದರಿ ಆಧಾರಿತ ಪತ್ತೆಯಿಂದ ತಪ್ಪಿಸಿಕೊಳ್ಳುವಂತೆ ವಿನ್ಯಾಸಗೊಳಿಸಿದ C2 ಪೇಲೋಡ್‌ಗಳು.

• DLL ಪಾರ್ಶ್ವ ಲೋಡಿಂಗ್ ಮೂಲಕ ಗುಟ್ಟಾಗಿ ಕಾರ್ಯಗತಗೊಳಿಸುವಿಕೆ.

• Themida ಬಳಸಿ ಕಸ್ಟಮ್ ಪ್ಯಾಕಿಂಗ್ ಮೂಲಕ ಕೋಡ್ ಮರೆಮಾಚುವಿಕೆ.

• ಪ್ರವೇಶಾಧಿಕಾರ ಹೆಚ್ಚಿಸಿಕೊಳ್ಳುವಿಕೆ ಮತ್ತು ಪತ್ತೆಯಿಂದ ತಪ್ಪಿಸಿಕೊಳ್ಳುವಿಕೆ.

• ಪೋರ್ಟ್ 80 ಮೂಲಕ HTTPS ಬಳಕೆ.

• ಲಾಗಿನ್ ರುಜುವಾತುಗಳು ಮತ್ತು ಅಧಿವೇಶನಗಳ ಕಳವು.

• Telegram ಮೂಲಕ ದಾಳಿಕೋರರಿಗೆ ಸೂಚನೆಗಳು.

• ಪ್ರಾಕ್ಸಿ ಆಧಾರಿತ ದತ್ತಾಂಶ ಸಂಚಾರ ಮರೆಮಾಚುವಿಕೆ.

ದುಷ್ಕರ್ಮಿಯು ತಮ್ಮ ಚಟುವಟಿಕೆಗಳ ಸುರಕ್ಷತೆಗೆ ಪ್ರಯತ್ನಿಸಿದ್ದರೂ, ದುರುದ್ದೇಶಪೂರಿತ ತಂತ್ರಾಂಶದಲ್ಲೇ ಪತ್ತೆಯಿಂದ ತಪ್ಪಿಸಿಕೊಳ್ಳುವ ವ್ಯವಸ್ಥೆಗಳಿದ್ದರೂ, ವ್ಯಾಪಕ ಪ್ರಮಾಣದಲ್ಲಿ ಕಾರ್ಯನಿರ್ವಹಿಸುವ ನಮ್ಮ ಸೈಬರ್ ದುರ್ಬಳಕೆ ಪತ್ತೆ ಪ್ರಕ್ರಿಯೆಯಿಂದಾಗಿ ಈ ಚಟುವಟಿಕೆಯನ್ನು ಪತ್ತೆಹಚ್ಚಲು ನಮಗೆ ಸಾಧ್ಯವಾಯಿತು. ದುರುದ್ದೇಶಪೂರಿತ ರಿಪೊಸಿಟರಿಯನ್ನು ತೆಗೆದುಹಾಕಲು ನಾವು ಕೋಡ್ ಹೋಸ್ಟಿಂಗ್ ಸೇವಾದಾರರೊಂದಿಗೆ ಸಮನ್ವಯ ಸಾಧಿಸಿದೆವು ಮತ್ತು ಈ ಚಟುವಟಿಕೆಗೆ ಸಂಬಂಧಿಸಿದ ಎಲ್ಲ ChatGPT ಖಾತೆಗಳನ್ನು ನಿಷೇಧಿಸಿದೆವು.

ಈ ಖಾತೆಗಳ ಗುಂಪು ಮಾಡೆಲ್‌ನೊಂದಿಗೆ ನಡೆಸಿದ ಸಂಭಾಷಣೆಗಳು ಹಲವು ಬಗೆಯ ಅಭಿವೃದ್ಧಿ ಕಾರ್ಯಗಳಿಗೆ ಸಂಬಂಧಿಸಿದ್ದವು. ಒಂದು ಸಂಭಾಷಣೆಯಲ್ಲಿ Go ಕೋಡ್‌ನ ತುಣುಕೊಂದಿತ್ತು. ಅದರಲ್ಲಿ HTTPS ವಿನಂತಿಯ ಸಮಸ್ಯೆಯನ್ನು ಪರಿಹರಿಸಲು ದುಷ್ಕರ್ಮಿಯು ಹೆಣಗಾಡುತ್ತಿದ್ದು, ದೋಷವನ್ನು ಸರಿಪಡಿಸುವಂತೆ ಮಾಡೆಲ್ ಅನ್ನು ಕೇಳಿದ್ದರು. ಮತ್ತೊಂದು ಸಂದರ್ಭದಲ್ಲಿ, Windows Defender ಸೆಟ್ಟಿಂಗ್‌ಗಳನ್ನು ಬದಲಾಯಿಸಲು Go ಮೂಲಕ PowerShell ಆದೇಶಗಳನ್ನು ಬಳಸುವಲ್ಲಿ ದುಷ್ಕರ್ಮಿಯು ನೆರವು ಕೇಳಿದ್ದರು. ಪ್ರೋಗ್ರಾಂ ಮೂಲಕ ವೈರಸ್ ನಿರೋಧಕ ತಪಾಸಣೆಯಿಂದ ವಿನಾಯಿತಿಗಳನ್ನು ಸೇರಿಸುವ ಮಾರ್ಗವನ್ನು ಅವರು ಹುಡುಕುತ್ತಿದ್ದರು.

ಈ ಚಟುವಟಿಕೆಗಳ ಪ್ರಾತಿನಿಧಿಕ ಉದಾಹರಣೆಗಳನ್ನು LLM ATT&CK ಚೌಕಟ್ಟಿಗೆ ಹೀಗೆ ಹೊಂದಿಸಬಹುದು:

• python.exe ಚಲಿಸಿದಾಗಲೆಲ್ಲ ತಮ್ಮ ಕೋಡ್ ಕಾರ್ಯಗತಗೊಳ್ಳುವಂತೆ python310.dll ಫೈಲ್ ಅನ್ನು ಕಂಪೈಲ್ ಮಾಡಲು LLM‌ಗಳನ್ನು ಬಳಸುವುದು: LLM ನೆರವಿನ ಅಭಿವೃದ್ಧಿ.

• ಪೋರ್ಟ್ 80ರಲ್ಲಿ HTTPS ದತ್ತಾಂಶ ಸಂಚಾರಕ್ಕೆ ಸೇವೆ ಒದಗಿಸಲು ವಿನ್ಯಾಸಗೊಳಿಸಿದ SSL/TLS ಪ್ರಮಾಣಪತ್ರಗಳ ದೋಷಗಳನ್ನು ಸರಿಪಡಿಸುವುದು: LLM ನೆರವಿನ ಅಭಿವೃದ್ಧಿ.

• ಮಾಡೆಲ್ ನೆರವಿನಿಂದ Flask ಆಧಾರಿತ C2 ಸರ್ವರ್ ಅನ್ನು ನೈಜ ಬಳಕೆಗೆ ಸಿದ್ಧವಾದ WSGI ಸರ್ವರ್‌ಗೆ ಸ್ಥಳಾಂತರಿಸುವುದು: LLM ನೆರವಿನ ಅಭಿವೃದ್ಧಿ.

• Windows Defender ಸೆಟ್ಟಿಂಗ್‌ಗಳನ್ನು ಬದಲಾಯಿಸಲು ಮತ್ತು ವೈರಸ್ ನಿರೋಧಕ ತಪಾಸಣೆಯಿಂದ ವಿನಾಯಿತಿಗಳನ್ನು ಸೇರಿಸಲು Go ಭಾಷೆಯಲ್ಲಿ PowerShell ಆದೇಶಗಳನ್ನು ಅಭಿವೃದ್ಧಿಪಡಿಸುವುದು: LLM ನೆರವಿನಿಂದ ಅಸಹಜ ಚಟುವಟಿಕೆಗಳ ಪತ್ತೆಯಿಂದ ಹೆಚ್ಚು ಪರಿಣಾಮಕಾರಿಯಾಗಿ ತಪ್ಪಿಸಿಕೊಳ್ಳುವುದು.

• ಹೊಸ ಬಲಿಪಶುವಿನ ವ್ಯವಸ್ಥೆಯನ್ನು ಭೇದಿಸಿದಾಗ ದಾಳಿಕೋರರ ನಿಯಂತ್ರಣದಲ್ಲಿರುವ Telegram ಚಾನೆಲ್‌ಗೆ ಸೂಚನೆ ಕಳುಹಿಸುವ ಕೋಡ್‌ನ ದೋಷಗಳನ್ನು ಸರಿಪಡಿಸುವುದು: ವ್ಯವಸ್ಥೆಯನ್ನು ಭೇದಿಸಿದ ನಂತರದ ಚಟುವಟಿಕೆಗೆ LLM ನೆರವು.

ತ್ವರಿತವಾಗಿ ವರದಿ ಮಾಡಿದ್ದರಿಂದ ಮತ್ತು ದುರುದ್ದೇಶಪೂರಿತ ರಿಪೊಸಿಟರಿಯನ್ನು ತೆಗೆದುಹಾಕಲು ಸಾಧ್ಯವಾದ ಉದ್ಯಮದ ಪಾಲುದಾರರೊಂದಿಗೆ ನಿಕಟವಾಗಿ ಸಹಕರಿಸಿದ್ದರಿಂದ, ಈ ಹಂತದಲ್ಲಿ ಸ್ಕೋಪ್‌ಕ್ರೀಪ್‌ನ ಪರಿಣಾಮ ತಗ್ಗಿರಬಹುದು. ಈ ದುಷ್ಕರ್ಮಿ ಬಳಸಿದ OpenAI ಖಾತೆಗಳನ್ನು ನಾವು ನಿಷೇಧಿಸಿದ್ದೇವೆ.

ತಮ್ಮ ದುರುದ್ದೇಶಪೂರಿತ ತಂತ್ರಾಂಶ ಅಭಿವೃದ್ಧಿ ಕಾರ್ಯಗಳನ್ನು ವೇಗಗೊಳಿಸುವ ಪ್ರಯತ್ನದಲ್ಲಿ ಈ ದುಷ್ಕರ್ಮಿಯು ನಮ್ಮ ಮಾಡೆಲ್‌ಗಳನ್ನು ಬಳಸಿದ್ದಾರೆ ಎಂಬುದು ನಮ್ಮ ಮೌಲ್ಯಮಾಪನ. ವಿಪರ್ಯಾಸವೆಂದರೆ, ಇದೇ ಬಳಕೆಯು ಈ ಬೆದರಿಕೆಯನ್ನು ತ್ವರಿತವಾಗಿ ಗುರುತಿಸಿ ತಡೆಯುವ ಅವಕಾಶವನ್ನೂ ನಮಗೆ ಒದಗಿಸಿತು. ಆಗ ಅದು ಇನ್ನೂ ಆರಂಭಿಕ ಹಂತದಲ್ಲಿದ್ದಂತೆ ಕಂಡುಬಂತು.

ಈ ದುರುದ್ದೇಶಪೂರಿತ ತಂತ್ರಾಂಶವು ಪ್ರವೇಶಾಧಿಕಾರ ಹೆಚ್ಚಿಸಿಕೊಳ್ಳುವುದು, ವ್ಯವಸ್ಥೆಯಲ್ಲಿ ನೆಲೆಯೂರುವುದು, ಲಾಗಿನ್ ರುಜುವಾತುಗಳನ್ನು ಸಂಗ್ರಹಿಸುವುದು ಮತ್ತು ದೂರದಿಂದ ಪ್ರವೇಶ ಪಡೆಯುವುದು ಮುಂತಾದ ಸಾಮರ್ಥ್ಯಗಳನ್ನು ಹೊಂದಿದ್ದರೂ, ಇವು ವಿಶೇಷವಾಗಿ ಹೊಸದೇನಲ್ಲ. ಈ ದುರುದ್ದೇಶಪೂರಿತ ತಂತ್ರಾಂಶವು ನೈಜ ಜಗತ್ತಿನಲ್ಲಿ ಸಕ್ರಿಯವಾಗಿದ್ದ ಸಾಧ್ಯತೆಯಿದ್ದು, ಅದರ ಕೆಲವು ಮಾದರಿಗಳು VirusTotal ನಲ್ಲಿ ಕಾಣಿಸಿಕೊಂಡಿದ್ದರೂ, ಅದರ ಬಗ್ಗೆ ವ್ಯಾಪಕ ಆಸಕ್ತಿ ಅಥವಾ ಅದರ ವ್ಯಾಪಕ ವಿತರಣೆಗೆ ಯಾವುದೇ ಪುರಾವೆ ನಮಗೆ ಕಂಡುಬರಲಿಲ್ಲ.