Maldinoša nodarbinātības shēma: IT darbinieku darbība

Šis gadījuma pētījums sākotnēji tika publicēts OpenAI 2025. gada jūnija⁠(atveras jaunā logā) ziņojumā.

Mēs identificējām un bloķējām ChatGPT kontus, kas, pēc visa spriežot, bija saistīti ar vairākām iespējamām maldinošām nodarbinātības kampaņām. Šie apdraudējuma radītāji izmantoja OpenAI modeļus, lai izstrādātu materiālus, kas palīdzētu īstenot, iespējams, krāpnieciskus mēģinājumus pieteikties IT, programmatūras izstrādes un citam attālinātam darbam visā pasaulē.

Lai gan nevaram noteikt apdraudējuma radītāju atrašanās vietu vai valstspiederību, viņu rīcība atbilda darbībām, kas publiski saistītas ar IT darbinieku shēmām, kurām ir saikne ar Ziemeļkoreju (KTDR)⁠(atveras jaunā logā). Daļu šo neseno kampaņu dalībnieku, iespējams, kā ārpakalpojumu sniedzējus bija piesaistījusi apdraudējuma radītāju pamatgrupa ar iespējamu saikni ar KTDR, lai viņi veiktu ar darba pieteikumiem saistītus uzdevumus un apkalpotu aparatūru, tostarp ASV.

Līdzīgi kā apdraudējuma radītāji, kuru darbību izjaucām un par kuriem rakstījām februārī⁠(atveras jaunā logā), arī jaunāko kampaņu īstenotāji mēģināja izmantot MI katrā darbā pieņemšanas procesa posmā. Iepriekš novērojām, ka šie dalībnieki izmantoja MI, lai manuāli ģenerētu ticamas izdomātas identitātes, kuru norādītā dzīvesvieta bieži bija ASV un kuru darba pieredze pazīstamos uzņēmumos bija safabricēta. Šoreiz viņi mēģināja daļēji automatizēt CV ģenerēšanu. Dažas pazīmes arī liecina, ka operatori Āfrikā uzdevās par darba meklētājiem un piesaistīja cilvēkus Ziemeļamerikā, lai tie viņu vārdā darbinātu klēpjdatorus.

Mēs konstatējām divus atšķirīgus darbības virzienus, kas, visticamāk, atbilst diviem operatoru veidiem: pamatgrupas operatoriem un ārpakalpojumu sniedzējiem.

Pamatgrupas operatori mēģināja automatizēt CV izveidi, balstoties uz konkrētiem amatu aprakstiem, prasmju veidnēm un izdomāto identitāšu profiliem, kā arī meklēja informāciju par rīku izstrādi darba pieteikumu pārvaldībai un izsekošanai. Viņi arī izmantoja mūsu modeļus, lai ģenerētu saturu, kas līdzinājās darba sludinājumiem ārpakalpojumu sniedzēju piesaistei dažādās pasaules daļās.

Pamatgrupas operatori izmantoja ChatGPT kā izpētes rīku, lai iegūtu informāciju attālināta darba vides izveidei. Viņi arī izmantoja mūsu modeļus, lai ģenerētu tekstus par reālu cilvēku piesaisti ASV uzņēmumu klēpjdatoru sūtījumu saņemšanai. Šiem datoriem pēc tam attālināti piekļūtu pamatgrupas apdraudējuma radītāji vai viņu piesaistītie ārpakalpojumu sniedzēji.

Apdraudējuma radītāji pētīja iespējas savās darbībās izmantot tādus rīkus un paņēmienus kā Tailscale vienādranga VPN, OBS Studio, tiešraides plūsmas ievadīšana ar vdo.ninja un HDMI uztveršanas cilpas. Šos rīkus potenciāli var izmantot uzņēmumu drošības pasākumu apiešanai. Veiksmīgas izmantošanas gadījumā tie ļautu uzturēt pastāvīgu, nepamanītu attālinātu klātbūtni un mēģināt apiet dažus identitātes pārbaudes procesus, kas balstās uz videosarunām reāllaikā.

Savukārt operatori, kas, iespējams, darbojās kā ārpakalpojumu sniedzēji, izmantoja ChatGPT, lai palīdzētu izpildīt ar darba pieteikumiem saistītus uzdevumus. Viņi to izmantoja arī tāda satura ģenerēšanai, kas līdzinājās ziņojumiem pamatgrupas operatoriem ar jautājumiem par maksājumiem un izdomātajām identitātēm, kuras izmantoja, piesakoties attālinātam darbam.

Mēs konstatējām, ka šie apdraudējuma radītāji mēģināja izmantot mūsu modeļus maldinošas operācijas īstenošanai. Konkrēti, viņi izmantoja detalizētas uzvednes, instrukcijas un automatizācijas ciklus, lai lielā apjomā ģenerētu pielāgotus, ticamus CV.

• Detalizētu CV izveides automatizācija, pielāgojot tos dažādiem tehnoloģiju jomas amatu aprakstiem, izdomātām identitātēm un nozares normām. LVM
  
  Lielie valodu modeļi: atbalsts sociālajai inženierijai.

• Atbilžu sniegšana uz darba pieteikumu jautājumiem, programmēšanas uzdevumu izpilde un atbildēšana uz interviju jautājumiem reāllaikā, balstoties uz augšupielādētiem CV. LVM
  
  Lielie valodu modeļi: atbalsts sociālajai inženierijai.

• Padomu meklēšana par uzņēmumu izsniegto klēpjdatoru attālinātu konfigurēšanu tā, lai tie šķistu atrodamies attiecīgajā valstī, tostarp par ģeogrāfiskās atrašanās vietas maskēšanu un galierīču drošības pasākumu apiešanu. LVM
  
  Lielie valodu modeļi: pilnveidota izvairīšanās no anomāliju atklāšanas.

• Palīdzība tādu rīku programmēšanā, kas automātiski pārvieto peles rādītāju vai attālināti neļauj datoram pāriet miega režīmā, iespējams, lai palīdzētu izveidot attālināta darba infrastruktūru. LVM
  
  Lielie valodu modeļi: atbalsts izstrādei.

Mēs nevaram neatkarīgi novērtēt šo operāciju panākumus, jo ietekmes novērtēšanai būtu nepieciešama informācija no vairākām iesaistītajām pusēm.

Lai gan apdraudējuma radītāji, visticamāk, integrēja MI katrā sava procesa posmā, lai strādātu efektīvāk, tas arī palielināja iespēju viņus atklāt. Ļaujot mums gūt ieskatu visā savu darbplūsmu gaitā, viņi deva mums iespēju dalīties informācijā par šīm kampaņām ar attiecīgajiem nozares partneriem un iestādēm katrā darbības posmā. Tas stiprināja mūsu kopīgās spējas atklāt un novērst šādus draudus, kā arī reaģēt uz tiem, vienlaikus uzlabojot mūsu kopējo drošību.