SweetSpecter: ar Ķīnu saistītas kiberdarbības
OpenAI bloķēja kontus, kas, visticamāk, piederēja uzbrucējam SweetSpecter, kurš, iespējams, darbojas Ķīnā un izmantoja MI ievainojamību izpētei, koda rakstīšanai un mērķētas pikšķerēšanas atbalstam.
Šī gadījuma izpēte sākotnēji tika publicēta OpenAI 2024. gada oktobra(atveras jaunā logā) ziņojumā.
Uzbrucējs
Mēs identificējām un bloķējām kontus, kas saskaņā ar uzticama avota vērtējumu, visticamāk, piederēja uzbrucējam, par kuru ir aizdomas, ka tas darbojas Ķīnā. Šie konti mēģināja izmantot mūsu modeļus kiberuzbrukumu operāciju atbalstam, vienlaikus veicot mērķētus pikšķerēšanas uzbrukumus mūsu darbiniekiem un valdībām visā pasaulē. Šis uzbrucējs, kura darbība tiek publiski izsekota ar nosaukumu SweetSpecter, parādījās 2023. gadā. Cik mums zināms, šī ir pirmā reize, kad publiski konstatēts, ka tā mērķu vidū ir ASV mākslīgā intelekta uzņēmums. Iepriekš tika ziņots, ka tā darbība bijusi vērsta uz politiskām struktūrām Tuvajos Austrumos, Āfrikā un Āzijā.
Rīcība
2024. gada maijā saņēmām informāciju no uzticama avota, kura drošības komanda bija novērojusi, ka SweetSpecter sūta mērķētus pikšķerēšanas e-pastus ar ļaunprātīgiem pielikumiem gan uz dažu mūsu darbinieku darba, gan personīgajām e-pasta adresēm.
Daļēji aizklāta versija e-pastam, ko SweetSpecter nosūtīja dažiem mūsu darbiniekiem. Mūsu drošības sistēmas šos e-pastus bloķēja. Attēlu laipni nodrošināja Proofpoint.
Šajos e-pastos SweetSpecter uzdevās par ChatGPT lietotāju, kas lūdz palīdzību darbiniekiem, kuri izraudzīti par uzbrukuma mērķiem. E-pastos bija ļaunprātīgs pielikums ar nosaukumu “some problems.zip”, kurā atradās LNK fails. Šajā failā bija kods, kas pēc faila atvēršanas lietotājam parādītu DOCX failu ar dažādiem šķietamiem ChatGPT kļūdu un pakalpojuma paziņojumiem. Taču fonā tiktu atšifrēta un palaista Windows ļaunprogrammatūra SugarGh0st RAT. Ļaunprogrammatūra ir paredzēta tam, lai SweetSpecter varētu pārņemt kontroli pār uzlauzto datoru un, piemēram, izpildīt patvaļīgas komandas, uzņemt ekrānuzņēmumus un izzagt datus.
OpenAI drošības komanda sazinājās ar darbiniekiem, kuri, domājams, bija šīs mērķētās pikšķerēšanas kampaņas mērķi, un konstatēja, ka esošie drošības pasākumi bija novērsuši e-pastu nonākšanu viņu darba pastkastēs.
Maldinošs saturs no viena no analizētajiem ļaunprātīgajiem LNK failiem, kas tiktu parādīts pēc faila palaišanas.
Visā šajā procesā sadarbībai ar nozares partneriem bija būtiska loma, palīdzot atklāt šos neveiksmīgos mēģinājumus uzlauzt darbinieku kontus. Tas uzsver, cik svarīga MI laikmetā ir apmaiņa ar informāciju par apdraudējumiem un sadarbība, lai apsteigtu uzbrucējus, kas izmanto sarežģītas metodes. Izmantojot kopīgi iegūto informāciju un apvienojot zināšanas, mēs varam labāk aizsargāt savus resursus un apturēt ar šādām darbībām saistīto kontu darbību mūsu platformā.
Modeļa atbildes
Analizējot plašāku infrastruktūru, kas nodrošināja šīs kampaņas darbību, mēs atklājām un bloķējām ChatGPT kontu grupu, kas izmantoja to pašu infrastruktūru, lai mēģinātu iegūt atbildes uz jautājumiem, rakstīt skriptus un veikt ievainojamību izpēti. Mēs sasaistījām šīs mijiedarbības ar LVM izmantošanas taktikām, paņēmieniem un procedūrām (TTP), ko Microsoft šī gada sākumā ierosināja iekļaut MITRE ATT&CK® ietvarā. MITRE ietvars apkopo kiberuzbrucēju praksē izmantotās taktikas un paņēmienus. Norādot šīs atbilstības, mēs vēlamies informēt plašāku kiberdrošības kopienu par novērotajām TTP un palīdzēt uzlabot kiberaizsardzības efektivitāti.
Tālāk sniegti daži SweetSpecter darbību piemēri, kas atbilst šīm TTP.
Darbība | Ar LVM saistītā ATT&CK ietvara kategorija |
|---|---|
Jautājumi par ievainojamībām dažādās lietotnēs | Izlūkošana, izmantojot LVM sniegto informāciju |
Jautājumi par to, kā meklēt konkrētas Log4j versijas, kuras skar kritiskā attālās koda izpildes (RCE) ievainojamība Log4Shell | Izlūkošana, izmantojot LVM sniegto informāciju |
Jautājumi par ārvalstīs populārām satura pārvaldības sistēmām | Izlūkošana, izmantojot LVM sniegto informāciju |
Informācijas pieprasīšana par konkrētiem CVE numuriem | Izlūkošana, izmantojot LVM sniegto informāciju |
Jautājumi par to, kā tiek veidoti visa interneta mēroga skenēšanas rīki. | Izlūkošana, izmantojot LVM sniegto informāciju |
Jautājumi par to, kā izmantot sqlmap, lai mērķa serverī augšupielādētu potenciālu tīmekļa čaulu. | Ievainojamību izpēte ar LVM palīdzību |
Palīdzības lūgumi, lai atrastu veidus, kā izmantot kādam ievērojamam autoražotājam piederošās infrastruktūras ievainojamības. | Ievainojamību izpēte ar LVM palīdzību |
Koda iesniegšana un papildu palīdzības lūgumi saziņas pakalpojumu izmantošanā īsziņu sūtīšanai programmatiskā veidā. | Skriptu veidošanas paņēmienu pilnveide ar LVM |
Palīdzības lūgumi atkļūdošanā, izstrādājot kiberdrošības rīka paplašinājumu. | Skriptu veidošanas paņēmienu pilnveide ar LVM |
Palīdzības lūgumi atkļūdot kodu, kas ir daļa no plašāka ietvara īsziņu sūtīšanai programmatiskā veidā uz uzbrucēja norādītiem numuriem. | Izstrāde ar LVM palīdzību |
Jautājumi par tēmām, kas varētu interesēt valsts iestāžu darbiniekus, un par piemērotiem pielikumu nosaukumiem, lai izvairītos no bloķēšanas. | Sociālā inženierija ar LVM atbalstu |
Lūgumi izveidot dažādus uzbrucēja iesniegta darbā pieņemšanas ziņojuma variantus. | Sociālā inženierija ar LVM atbalstu |
Visas izmeklēšanas laikā mūsu drošības komandas izmantoja ChatGPT, lai analizētu, kategorizētu, tulkotu un apkopotu uzbrucēju kontos notikušās sarunas. Tas ļāva mums ātri iegūt noderīgu informāciju no lielām datu kopām, vienlaikus samazinot šim darbam nepieciešamo resursu apjomu. Mūsu modeļiem kļūstot attīstītākiem, paredzam, ka varēsim izmantot ChatGPT arī darbiniekiem nosūtīto ļaunprātīgo pielikumu reversajai inženierijai un analīzei.
Ietekme
Tāpat kā novērojām mūsu pirmajā ziņojumā par apdraudējumiem, nešķita, ka mūsu modeļu izmantošana sniegtu uzbrucējiem jaunas iespējas vai norādes, ko viņi citādi nevarētu iegūt no vairākiem publiski pieejamiem resursiem. Mūsu drošības mehānismi bloķēja uzbrucēja ļaunprātīgos e-pastus, pirms tie nonāca darbinieku pastkastēs.