Apgaulingo įsidarbinimo schema: IT darbuotojų veikla

Ši atvejo analizė pirmą kartą paskelbta OpenAI 2025 m. birželio⁠(atsidaro naujame lange) ataskaitoje.

Nustatėme ir užblokavome ChatGPT paskyras, kurios, kaip įtariama, buvo susijusios su keliomis apgaulingo įsidarbinimo kampanijomis. Šie piktavaliai naudojo OpenAI modelius medžiagai rengti, galimai siekdami apgaule pretenduoti į IT, programinės įrangos inžinerijos ir kitas nuotolinio darbo vietas visame pasaulyje.

Nors negalime nustatyti šių piktavalių buvimo vietos ar pilietybės, jų elgesys atitiko veiklą, viešai siejamą su IT darbuotojų schemomis, susijusiomis su Šiaurės Korėja (KLDR)⁠(atsidaro naujame lange). Kai kuriuos su šiomis naujausiomis kampanijomis susijusius veikėjus pagrindinė galimai su KLDR susijusių piktavalių grupė galėjo pasamdyti kaip rangovus paraiškų teikimo užduotims atlikti ir aparatinei įrangai prižiūrėti, taip pat ir JAV.

Kaip ir piktavaliai, kurių veiklą nutraukėme ir apie kuriuos rašėme vasarį⁠(atsidaro naujame lange), naujausių kampanijų vykdytojai bandė naudoti DI kiekviename įsidarbinimo etape. Anksčiau stebėjome, kaip šie veikėjai neautomatizuotai naudojo DI įtikinamoms fiktyvioms tapatybėms kurti: dažnai tai buvo tariami JAV gyventojai su išgalvota darbo žinomose įmonėse patirtimi. Šį kartą jie bandė iš dalies automatizuoti gyvenimo aprašymų kūrimą. Kai kurie požymiai taip pat rodo, kad Afrikoje esantys operatoriai apsimetinėjo kandidatais į darbo vietas, o Šiaurės Amerikoje buvo samdomi žmonės, kurie jų vardu valdytų nešiojamuosius kompiuterius.

Aptikome dvi skirtingas veiklos kryptis, kurios greičiausiai atitiko dvi operatorių grupes: pagrindinius operatorius ir rangovus.

Pagrindiniai operatoriai bandė automatizuoti gyvenimo aprašymų kūrimą pagal konkrečius darbo skelbimus, įgūdžių šablonus ir fiktyvių tapatybių profilius. Jie taip pat ieškojo informacijos, kaip kurti paraiškų dėl darbo valdymo ir stebėjimo įrankius. Jie taip pat naudojo mūsų modelius turiniui, primenančiam darbo skelbimus, kurti, siekdami pasamdyti rangovų įvairiose pasaulio vietose.

Pagrindiniai operatoriai naudojo ChatGPT informacijai rinkti, kad galėtų priimti sprendimus dėl nuotolinio darbo aplinkos įrengimo. Jie taip pat pasitelkė mūsų modelius tekstams apie realių žmonių samdymą JAV kurti. Šie žmonės turėtų priimti įmonių siunčiamus nešiojamuosius kompiuterius, prie kurių vėliau nuotoliniu būdu prisijungtų pagrindiniai piktavaliai arba jų rangovai.

Piktavaliai domėjosi, kaip savo veikloje naudoti tokias priemones kaip tiesioginio ryšio VPN „Tailscale“, „OBS Studio“, tiesioginio vaizdo srauto įterpimą per vdo.ninja ir HDMI vaizdo fiksavimo kilpas. Šias priemones galima panaudoti įmonių saugumo priemonėms apeiti. Jei tai pavyktų, jos leistų palaikyti nuolatinę nepastebimą nuotolinę prieigą ir mėginti apeiti kai kurias tapatybės patikros procedūras, grindžiamas tiesioginiais vaizdo pokalbiais.

Tuo metu operatoriai, galimai veikę kaip rangovai, naudojo ChatGPT užduotims, susijusioms su paraiškomis dėl darbo, atlikti. Jie taip pat naudojo jį turiniui, panašiam į pagrindiniams operatoriams skirtas žinutes, kurti. Jose buvo teiraujamasi apie mokėjimus ir fiktyvias tapatybes, naudotas pretenduojant į nuotolinio darbo vietas.

Nustatėme, kad šie piktavaliai bandė naudoti mūsų modelius apgaulingai operacijai vykdyti. Konkrečiai, jie naudojo išsamias užklausas, instrukcijas ir automatizavimo ciklus, kad masiškai generuotų konkrečioms darbo vietoms pritaikytus, įtikinamus gyvenimo aprašymus.

• Išsamių gyvenimo aprašymų, pritaikytų įvairiems technologijų srities darbo skelbimams, fiktyvioms tapatybėms ir sektoriaus normoms, kūrimo automatizavimas: socialinė inžinerija pasitelkiant LLM.

• Atsakymų į paraiškų dėl darbo ir tiesiogiai vykstančių darbo pokalbių klausimus rengimas bei programavimo užduočių atlikimas pagal įkeltus gyvenimo aprašymus: socialinė inžinerija pasitelkiant LLM.

• Ieškojimas patarimų, kaip nuotoliniu būdu sukonfigūruoti įmonių išduotus nešiojamuosius kompiuterius, kad atrodytų, jog jie yra šalies viduje, įskaitant geografinės vietos maskavimą ir galinių įrenginių saugumo priemonių apėjimą: LLM padedamas anomalijų aptikimo vengimas.

• Pagalba programuojant įrankius, kurie automatiškai judina pelę arba nuotoliniu būdu neleidžia kompiuteriui pereiti į miego režimą, galimai siekiant padėti įrengti nuotolinio darbo infrastruktūrą: programavimas pasitelkiant LLM.

Negalime savarankiškai įvertinti šių operacijų sėkmės, nes jų poveikiui įvertinti reikėtų informacijos iš kelių suinteresuotųjų šalių.

Nors piktavaliai tikriausiai įtraukė DI į kiekvieną savo veiklos etapą siekdami dirbti efektyviau, dėl to jų veiklą tapo lengviau pastebėti. Suteikę mums galimybę suprasti jų darbo procesus, jie leido pasidalyti įžvalgomis apie kiekvieną šių kampanijų veiklos etapą su atitinkamais sektoriaus partneriais ir institucijomis. Tai sustiprino mūsų bendrą gebėjimą aptikti tokias grėsmes, užkirsti joms kelią ir į jas reaguoti, kartu didinant visų mūsų saugumą.