“ScopeCreep” मोहीम: रशियन भाषिकांकडून मालवेअर विकास

हा प्रकरण अभ्यास मूळतः OpenAI च्या जून 2025⁠(नवीन विंडोमध्ये उघडेल) च्या अहवालात प्रकाशित झाला होता.

आम्ही ChatGPT खात्यांच्या एका गटावर बंदी घातली. ही खाती एका रशियन भाषिक हल्लेखोराकडून चालवली जात असल्याचे दिसून आले. या हल्लेखोराने Windows साठी मालवेअर विकसित करण्यासाठी आणि त्यात सुधारणा करण्यासाठी, विविध भाषांमधील कोडमधील त्रुटी दूर करण्यासाठी आणि आदेश व नियंत्रणासाठीची पायाभूत यंत्रणा उभारण्यासाठी आमच्या मॉडेलची मदत घेतली.

या हल्लेखोराला Windows च्या अंतर्गत कार्यपद्धतीचे ज्ञान होते आणि त्याने आपल्या कारवाया सुरक्षित ठेवण्यासाठी काही खबरदारी घेतल्याचेही दिसून आले. या कारवाईत ट्रोजन घुसवलेल्या, खेळात नेम धरण्यासाठी वापरल्या जाणाऱ्या “लक्ष्यचिन्ह” साधनावर भर होता. हे आणि कारवाईची छुपी कार्यपद्धती लक्षात घेऊन आम्ही तिला “ScopeCreep” असे नाव दिले आहे.

या हल्लेखोराने आपल्या कारवाया सुरक्षित ठेवण्यासाठी अवलंबलेली पद्धत लक्षणीय होती. त्याने ChatGPT खाती उघडण्यासाठी तात्पुरते ईमेल पत्ते वापरले. प्रत्येक ChatGPT खात्याचा वापर त्याच्या कोडमध्ये एक छोटी सुधारणा करण्याविषयीच्या एकाच संभाषणापुरता मर्यादित होता. त्यानंतर तो मूळ खाते सोडून देऊन नवीन खाते तयार करत असे.

या हल्लेखोराने सार्वजनिकरीत्या उपलब्ध असलेल्या एका कोड रिपॉझिटरीद्वारे ScopeCreep मालवेअरचे वितरण केले. ही रिपॉझिटरी व्हिडिओ गेममध्ये पडद्यावर लक्ष्यचिन्ह दाखवणारे अधिकृत आणि लोकप्रिय साधन (Crosshair-X) असल्याचा आभास निर्माण करत होती. धोक्याची कल्पना नसलेले वापरकर्ते ही घातक आवृत्ती डाउनलोड करून चालवताच त्यांच्या प्रणालीवर मालवेअर लोडर सुरू होत असे. त्यातून हल्लेखोराच्या पायाभूत यंत्रणेवरून आणखी घातक फायली डाउनलोड होऊन चालवल्या जात असत.

त्यानंतर प्रवेशाधिकार वाढवणे, गुप्तपणे प्रणालीत टिकून राहणे, हल्लेखोराला सूचना देणे आणि शोध यंत्रणांना चुकवत संवेदनशील डेटा बाहेर पाठवणे यांसाठी अनेक टप्प्यांची प्रक्रिया सुरू होईल, अशी या मालवेअरची रचना होती.

या हल्लेखोराने मालवेअर टप्प्याटप्प्याने विकसित करण्यासाठी आमच्या मॉडेलची मदत घेतली. त्यासाठी तो ChatGPT ला सातत्याने आणखी विशिष्ट वैशिष्ट्ये समाविष्ट करण्यास सांगत होता. ScopeCreep मध्ये मालवेअर पोहोचवणे, ते चालवणे, शोध यंत्रणांना चुकवणे आणि डेटा बाहेर पाठवणे यांसाठी विविध तंत्रे वापरली गेली होती, त्यात पुढील तंत्रांचा समावेश होता:

• ज्ञात मालवेअरच्या ओळखखुणांवर आधारित शोध यंत्रणांना चुकवण्यासाठी तयार केलेले C2 पेलोड.

• DLL साइड-लोडिंगद्वारे गुप्तपणे कोड चालवणे.

• Themida वापरून सानुकूल पॅकिंगद्वारे कोडचे स्वरूप लपवणे.

• प्रवेशाधिकार वाढवणे आणि शोध यंत्रणांना चुकवणे.

• पोर्ट 80 वरून HTTPS वापरणे.

• प्रवेशासाठीची ओळखमाहिती आणि सत्रांची चोरी.

• Telegram द्वारे हल्लेखोराला सूचना पाठवणे.

• प्रॉक्सी वापरून नेटवर्क वाहतुकीचे स्वरूप लपवणे.

हल्लेखोराने आपल्या कारवाया सुरक्षित ठेवण्यासाठी प्रयत्न केले होते आणि मालवेअरमध्येही शोध यंत्रणांना चुकवण्याची व्यवस्था होती. तरीही, मोठ्या प्रमाणावर कार्यरत असलेल्या आमच्या सायबर गैरवापर शोध प्रक्रियेमुळे आम्हाला या हालचाली शोधता आल्या. ही घातक रिपॉझिटरी हटवण्यासाठी आम्ही कोड होस्टिंग सेवा पुरवठादाराशी समन्वय साधला आणि या कारवाईशी संबंधित सर्व ChatGPT खात्यांवर बंदी घातली.

या खातेगटाने मॉडेलशी साधलेल्या संवादांमध्ये सॉफ्टवेअर विकासाशी संबंधित विविध कामांचा समावेश होता. एका संवादात Go भाषेतील कोडचा एक भाग दिला होता. त्यातील HTTPS विनंतीमध्ये हल्लेखोराला अडचण येत होती आणि त्याने मॉडेलला त्यातील त्रुटी दूर करण्यास सांगितले. दुसऱ्या एका प्रसंगी, हल्लेखोराने Go द्वारे PowerShell आदेश वापरून Windows Defender च्या सेटिंग्ज बदलण्यासाठी मदत मागितली. कोडच्या माध्यमातून अँटिव्हायरस तपासणीतून वगळण्याचे अपवाद जोडण्याचा मार्ग तो शोधत होता.

या कारवायांची प्रातिनिधिक उदाहरणे LLM ATT&CK आराखड्यात पुढीलप्रमाणे वर्गीकृत करता येतात:

• python.exe चालेल तेव्हा प्रत्येक वेळी हल्लेखोराचा कोड चालवला जावा, यासाठी LLM वापरून python310.dll ही फाइल संकलित करणे: LLM च्या मदतीने विकास.

• पोर्ट 80 वर HTTPS वाहतूक हाताळण्यासाठी तयार केलेल्या SSL/TLS प्रमाणपत्रांशी संबंधित त्रुटी दूर करणे: LLM च्या मदतीने विकास.

• मॉडेलच्या मदतीने Flask-आधारित C2 सर्व्हरचे प्रत्यक्ष वापरासाठी सज्ज असलेल्या WSGI सर्व्हरवर स्थलांतर करणे: LLM च्या मदतीने विकास.

• Windows Defender च्या सेटिंग्ज बदलण्यासाठी आणि अँटिव्हायरस तपासणीतून वगळण्याचे अपवाद जोडण्यासाठी Go मध्ये PowerShell आदेश विकसित करणे: LLM च्या मदतीने असामान्य हालचाली शोधणाऱ्या यंत्रणांना अधिक प्रभावीपणे चुकवणे.

• नवीन बळीच्या प्रणालीत घुसखोरी झाल्यावर हल्लेखोराच्या नियंत्रणातील Telegram चॅनेलला सूचना देणाऱ्या कोडमधील त्रुटी दूर करणे: LLM च्या मदतीने घुसखोरीनंतरची कारवाई.

त्वरित सूचना दिल्यामुळे आणि घातक रिपॉझिटरी हटवू शकलेल्या उद्योगक्षेत्रातील भागीदारांशी जवळून सहकार्य केल्यामुळे या टप्प्यावर ScopeCreep चा प्रभाव कमी झाला असण्याची शक्यता आहे. आम्ही या हल्लेखोराने वापरलेल्या OpenAI खात्यांवर बंदी घातली.

आमच्या आकलनानुसार, या हल्लेखोराने मालवेअर विकसित करण्याच्या कामाला गती देण्यासाठी आमच्या मॉडेलचा वापर करण्याचा प्रयत्न केला. विरोधाभास म्हणजे, यामुळेच आम्हाला हा धोका झटपट ओळखून त्याला आळा घालण्याची संधी मिळाली. ही कारवाई तेव्हा सुरुवातीच्या टप्प्यातच असल्याचे दिसत होते.

या मालवेअरमध्ये प्रवेशाधिकार वाढवणे, प्रणालीत टिकून राहणे, प्रवेशासाठीची ओळखमाहिती गोळा करणे आणि दूरस्थ प्रवेश मिळवणे अशा क्षमता असल्या, तरी त्या विशेष नावीन्यपूर्ण नाहीत. हा मालवेअर प्रत्यक्ष हल्ल्यांमध्ये सक्रिय असण्याची शक्यता होती आणि त्याचे काही नमुने VirusTotal वरही दिसले होते. मात्र, त्याला व्यापक प्रतिसाद मिळाल्याचा किंवा त्याचे मोठ्या प्रमाणावर वितरण झाल्याचा कोणताही पुरावा आम्हाला आढळला नाही.