Operasi “ScopeCreep”: Pembangunan perisian hasad oleh pelaku berbahasa Rusia

Kajian kes ini pada asalnya diterbitkan dalam laporan OpenAI bagi Jun 2025⁠(dibuka dalam tetingkap baru).

Kami menyekat sekumpulan akaun ChatGPT yang kelihatan dikendalikan oleh pelaku ancaman berbahasa Rusia. Pelaku ini menggunakan model kami untuk membantu membangunkan dan menambah baik perisian hasad Windows, menyahpepijat kod dalam pelbagai bahasa pengaturcaraan, serta menyediakan infrastruktur perintah dan kawalan mereka.

Pelaku ini menunjukkan pengetahuan tentang mekanisme dalaman Windows dan mengamalkan beberapa langkah keselamatan operasi. Memandangkan operasi ini tertumpu pada penggunaan alat permainan “rerambut silang” yang disisipi Trojan serta taktik tersembunyi, kami menamakannya “ScopeCreep”.

Pelaku ancaman ini mempunyai pendekatan yang tersendiri terhadap keselamatan operasi. Mereka menggunakan alamat e-mel sementara untuk mendaftar akaun ChatGPT, dan mengehadkan setiap akaun kepada satu perbualan tentang satu penambahbaikan kecil pada kod mereka. Kemudian, mereka meninggalkan akaun asal dan mencipta akaun baharu.

Pelaku ini mengedarkan perisian hasad ScopeCreep melalui repositori kod yang boleh diakses umum dan menyamar sebagai alat tindanan rerambut silang (Crosshair-X) yang sah serta popular untuk permainan video. Pengguna yang memuat turun dan menjalankan versi berbahaya itu tanpa mengesyaki apa-apa akan mengaktifkan pemuat perisian hasad pada sistem mereka. Ini menyebabkan fail berbahaya tambahan dimuat turun daripada infrastruktur penyerang dan dijalankan.

Dari situ, perisian hasad tersebut direka untuk memulakan proses berbilang peringkat bagi meningkatkan keistimewaan akses, mengekalkan kehadiran secara tersembunyi, memaklumkan pelaku ancaman dan menyalurkan keluar data sensitif tanpa dikesan.

Pelaku ancaman ini menggunakan model kami untuk membantu membangunkan perisian hasad secara berulang, dengan terus meminta ChatGPT melaksanakan ciri khusus tambahan. ScopeCreep menggunakan pelbagai teknik penghantaran, pelaksanaan, pengelakan pengesanan dan penyaluran keluar data, termasuk:

• Muatan C2 yang direka untuk mengelakkan pengesanan berasaskan tandatangan.

• Pelaksanaan secara tersembunyi melalui pemuatan sisi DLL.

• Pengaburan kod melalui pembungkusan tersuai dengan Themida.

• Peningkatan keistimewaan akses dan pengelakan pengesanan.

• HTTPS melalui port 80.

• Kecurian kelayakan akses dan sesi.

• Pemberitahuan kepada penyerang melalui Telegram.

• Pengaburan trafik berasaskan proksi.

Walaupun pelaku ancaman mengambil langkah keselamatan operasi dan perisian hasad itu sendiri mempunyai mekanisme untuk mengelakkan pengesanan, kami dapat mengesan aktiviti tersebut melalui proses pengesanan penyalahgunaan siber kami yang berskala besar. Kami bekerjasama dengan penyedia pengehosan kod untuk menurunkan repositori berbahaya itu dan menyekat semua akaun ChatGPT yang dikaitkan dengan aktiviti ini.

Interaksi kumpulan akaun ini dengan model merangkumi pelbagai tugas pembangunan. Salah satu interaksi mengandungi petikan kod Go dengan permintaan HTTPS yang bermasalah, lalu pelaku ancaman meminta model menyahpepijatnya. Dalam interaksi lain, pelaku ancaman meminta bantuan untuk menggunakan perintah PowerShell melalui Go bagi mengubah tetapan Windows Defender, dalam usaha mencari cara menambah pengecualian antivirus (AV) secara pengaturcaraan.

Contoh yang mewakili aktiviti ini boleh dipetakan kepada rangka kerja LLM ATT&CK seperti berikut:

• Menggunakan LLM untuk mengkompil fail python310.dll supaya kod mereka dilaksanakan setiap kali python.exe dijalankan: Pembangunan Berbantukan LLM.

• Menyelesaikan ralat sijil SSL/TLS yang direka untuk mengendalikan trafik HTTPS pada port 80: Pembangunan Berbantukan LLM.

• Migrasi pelayan C2 berasaskan Flask kepada pelayan WSGI yang sedia untuk persekitaran pengeluaran, dengan bantuan model: Pembangunan Berbantukan LLM.

• Membangunkan perintah PowerShell dalam Go untuk mengubah tetapan Windows Defender dan menambah pengecualian AV: Pengelakan Pengesanan Anomali yang Dipertingkat oleh LLM.

• Menyahpepijat ralat dalam kod yang menghantar pemberitahuan ke saluran Telegram kawalan penyerang apabila sistem mangsa baharu berjaya diceroboh: Aktiviti Pascapencerobohan Berbantukan LLM.

Pada peringkat ini, kesan ScopeCreep mungkin telah dikurangkan melalui pelaporan pantas dan kerjasama erat dengan rakan industri yang berjaya menurunkan repositori berbahaya tersebut. Kami menyekat akaun OpenAI yang digunakan oleh pelaku ini.

Menurut penilaian kami, pelaku ancaman ini menggunakan model kami dalam usaha mempercepat operasi pembangunan perisian hasad mereka. Namun, tindakan ini juga membuka peluang kepada kami untuk mengenal pasti dan mengganggu ancaman tersebut dengan pantas, ketika ia kelihatan masih pada peringkat awal.

Walaupun keupayaan perisian hasad ini merangkumi peningkatan keistimewaan akses, pengekalan kehadiran dalam sistem, pengumpulan kelayakan akses dan akses jauh, keupayaan ini bukanlah sesuatu yang baharu. Walaupun perisian hasad ini berkemungkinan aktif di luar persekitaran ujian, dengan beberapa sampel muncul di VirusTotal, kami tidak menemui bukti bahawa ia menarik minat ramai atau diedarkan secara meluas.