Kiberoperācija: pikšķerēšanas un skriptu izstrādes atbalsts

Šis gadījuma apraksts sākotnēji tika publicēts OpenAI 2025. gada oktobra⁠(atveras jaunā logā) ziņojumā.

Mēs identificējām un bloķējām ChatGPT kontu kopu, kas bija iesaistīta darbībās, kuras pārklājās ar publiskajos ziņojumos aprakstīto apdraudējuma grupu darbībām. Nozarē šīs grupas tiek izsekotas ar nosaukumiem UNK_DROPPITCH (Proofpoint) un UTA0388 (Volexity). Vismaz vienā gadījumā ChatGPT konta reģistrēšanai izmantotā e-pasta adrese, kā ziņots, tika izmantota arī pikšķerēšanas ziņojumu sūtīšanai.

Šos kontus izmantojušo apdraudējuma īstenotāju darbībām bija pazīmes, kas raksturīgas ĶTR izlūkošanas uzdevumu izpildei veiktām kiberoperācijām: ķīniešu valodas lietošana un vēršanās pret Taivānas pusvadītāju nozari, ASV akadēmiskajām aprindām un domnīcām, kā arī organizācijām, kas saistītas ar ĶKP kritizējošām etniskām un politiskām grupām, kuras dažkārt dēvē par «piecām indēm».

Mūsu modelis neradīja jaunas uzbrukuma iespējas. Šķiet, ka operatori mūsu modeļus galvenokārt izmantoja, lai pakāpeniski uzlabotu esošo darbplūsmu efektivitāti, jo īpaši pikšķerēšanas satura veidošanā un savu rīku atkļūdošanā vai pārveidošanā.

Apdraudējuma īstenotāji izmantoja ChatGPT diviem galvenajiem uzdevumiem: lai veidotu pikšķerēšanas kampaņu saturu vairākās valodās, tostarp ķīniešu valodā gan vienkāršotajā, gan tradicionālajā rakstībā, angļu un japāņu valodā, kā arī lai palīdzētu izstrādāt rīkus un ļaunprogrammatūru. Viņu izstrādes darbs liecināja par tehniski kompetentu, taču ne īpaši pieredzējušu apdraudējuma īstenotāju. Piemēram, viņi apsprieda vairākus AES izmantošanas aspektus un nianses C2 datplūsmas aizsardzībai, tomēr joprojām izmantoja vienkāršu statisku atslēgu.

Apdraudējuma īstenotāji pikšķerēšanas saturu veidoja pēc detalizēta un formulveida plāna, kas liecināja par vēršanos pret precīzi noteiktu demogrāfisko grupu. Parasti viņi veidoja īsu un formāli pieklājīgu e-pasta vēstuli akadēmisko aprindu, nozares vai konferences pārstāvja vārdā. Apdraudējuma īstenotāji bieži lūdza pielāgot toni, aizstāt terminus atbilstoši reģionālajam lietojumam vai pievienot atsauces uz konkrētām iestādēm. Lai gan šādi mērķtiecīgi sīki labojumi liecina par apzinātiem centieniem uzlabot sākotnējā satura kvalitāti, apdraudējuma īstenotāji neizlaboja dažas viņus atmaskojošas detaļas, piemēram, paraksta blokos iekļautu neticamu kontaktinformāciju.

Viņi lūdza koda fragmentus un kontrolsarakstus, kas paātrinātu ikdienas uzdevumu izpildi. Viņi pieprasīja kodu šifrētu transporta protokolu (HTTPS, TLS) pārbaudei, lai veiktu vienkāršu, bāksignāliem līdzīgu periodisku aptauju; izstrādāja Go un PowerShell koda fragmentu uzmetumus procesu uzskaitīšanai, procesu pārtraukšanai pēc izpildāmā faila nosaukuma un vides informācijas apkopošanai; kā arī integrēja plaši pieejamus skenerus bash/PowerShell ietvarskriptos.

Viņi arī lūdza modelim ieteikt vienkāršus maskēšanas un operacionālās drošības (OPSEC) uzlabojumus: pārdēvēt funkcijas, pielāgot galvenes vai paslēpt virknes. Vairākās sesijās viņi virzījās uz vienkāršiem komandvadības prototipiem, kas atbilda zema vai vidēja izstrādes līmeņa ļaunprogrammatūrai, tostarp savienojuma uzturēšanas cikliem, minimālai uzdevumu nodošanai pa HTTP(S) un JSON formāta uzdevumu un rezultātu aploksnēm.

Dažu apdraudējuma īstenotāja Go izstrādes darbību tehniskās detaļas pārklājas ar nozares ziņojumos aprakstīto ļaunprogrammatūru, kas tiek izsekota ar nosaukumu GOVERSHELL (Volexity) vai HealthKick (Proofpoint). Tas liecina, ka modeļus, iespējams, mēģināja izmantot galvenās ļaunprogrammatūras izstrādes atbalstam.

Līdztekus darbam pie šo personu tēliem un rīku izstrādei operatori pētīja papildu automatizācijas iespējas, izmantojot DeepSeek. Šī darbība līdzinājās izpētes darbam masveida pikšķerēšanas automatizēšanai, piemēram, analizējot tīmekļa saturu, lai automātiski izveidotu e-pasta adresātu sarakstu un katram identificētajam potenciālajam mērķim ģenerētu viņu varbūtēji interesējošu saturu. Mēs nevaram neatkarīgi apstiprināt, vai apdraudējuma īstenotāji ieviesa šādu automatizāciju un, ja ieviesa, kuru modeli viņi galu galā izmantoja.

Apdraudējuma īstenotāji mēģināja izmantot mūsu modeļus, lai plānotu un iteratīvi pilnveidotu šifrētus C2 komponentus, attālas komandu izpildes darbplūsmas un konkrētai kultūrvidei pielāgotu saziņu, galveno uzmanību pievēršot ātrumam un lokalizācijai, nevis jaunām uzbrukuma iespējām. Viņi ģenerēja modeļa atbildes, kas, šķiet, bija paredzētas ārpus mūsu platformas veiktu darbību atbalstam vairākās operacionālajās jomās:

• Šifrēta C2 saziņa un attāla izpilde: pieprasījumi izveidot vai labot Go klienta un servera kodu, izmantojot ziņojumu šifrēšanu, piemēram, AES-GCM, sesijas atslēgu nomaiņu, sistēmas informācijas bāksignālus un servera konsoli PowerShell komandu izdošanai, izmantojot standarta tīmekļa protokolus vai WebSocket kanālu.

• Datplūsmas aizsardzības un OPSEC uzlabojumi: pieprasījumi ietvēra kodu pārejai no nešifrētiem WebSocket savienojumiem uz drošiem WebSocket savienojumiem (wss://) un no HTTP uz HTTPS, sertifikātu pārbaužu atspējošanai dažos testos, datplūsmas maskēšanai ar CDN/TLS priekšgalsistēmu, kā arī lielāku ziņojumu apstrādei bez klienta avārijām.

• Izlūkošana un procesu pārvaldība: pieprasījumi pēc informācijas par pretvīrusu programmatūras noteikšanu ar PowerShell un procesu uzskaitīšanu, kā arī lūgumi pārtraukt konkrētus Edge/WebView2 procesus.

• Plaši pieejamu skenēšanas rīku iestatīšana: praktiska palīdzība tādu atvērtā pirmkoda rīku kā nuclei un fscan instalēšanā un lietošanā komerciālā Linux infrastruktūrā, kā arī rezultātu saglabāšanā vēlākai pārskatīšanai.

• Pikšķerēšanas un uzrunāšanas saturs: pārliecinošu e-pasta vēstuļu sagatavošana vairākās valodās akadēmisko aprindu vai nozares kontaktpersonām, tostarp temata rindu un stila pielāgošana vietējām normām.

Šīs darbības atbilst LVM ATT&CK kategorijām, tostarp LVM optimizētai kaitīgās slodzes izveidei, LVM uzlabotai izvairīšanās no anomāliju noteikšanas, LVM atbalstītām darbībām pēc kompromitēšanas, LVM atbalstītai izlūkošanai un resursu atklāšanai, kā arī LVM atbalstītai sociālajai inženierijai.

Mēs atspējojām visus ar šo darbību saistītos kontus un kopīgojām attiecīgos indikatorus ar nozares partneriem. Apdraudējuma īstenotāji galvenokārt centās pakāpeniski uzlabot esošo darbplūsmu efektivitāti, tostarp sagatavot nosūtīšanai gatavas pikšķerēšanas e-pasta vēstules un saīsināt parastā koda un automatizācijas pilnveides ciklus. Mēs neatradām pierādījumus, ka modeļa atbildes būtu nodrošinājušas iespējas, kas pārsniedz labi dokumentētas publiski pieejamas metodes; mūsu modelis neradīja jaunas uzbrukuma iespējas. Ar modeļa palīdzību viņi centās iegūt priekšrocības, ko sniedz valodas prasme, lokalizācija un neatlaidība: iespējams, mazāk valodas kļūdu, ātrāk sagatavots integrācijas kods un ātrāki labojumi kļūmju gadījumā.