L-operazzjoni “ScopeCreep”: żvilupp tal-malware minn attur li jitkellem bir-Russu

Dan l-istudju tal-każ ġie ppubblikat oriġinarjament fir-rapport ta’ Ġunju 2025⁠(jinfetaħ f’tieqa ġdida) ta’ OpenAI.

Imblukkajna grupp ta’ kontijiet ta’ ChatGPT li dehru li kienu jitħaddmu minn attur malizzjuż li jitkellem bir-Russu. Dan l-attur uża l-mudelli tagħna biex jgħinuh jiżviluppa u jirfina malware għal Windows, isolvi żbalji fil-kodiċi f’diversi lingwi u jistabbilixxi l-infrastruttura tiegħu ta’ kmand u kontroll.

L-attur wera għarfien tal-mekkaniżmi interni ta’ Windows u ħa xi miżuri ta’ sigurtà operattiva. Billi l-operazzjoni ffukat fuq l-użu ta’ għodda tal-logħob li turi “salib tal-mira” u li fiha ddaħħal Trojan, u użat tattiċi moħbija, tajnieha l-isem “ScopeCreep”.

Dan l-attur malizzjuż kellu approċċ partikolari għas-sigurtà operattiva. Uża indirizzi tal-email temporanji biex jirreġistra kontijiet ta’ ChatGPT, u llimita kull kont għal konverżazzjoni waħda dwar titjib żgħir wieħed fil-kodiċi tiegħu. Imbagħad kien jabbanduna l-kont oriġinali u joħloq wieħed ġdid.

L-attur qassam il-malware ScopeCreep permezz ta’ repożitorju pubbliku tal-kodiċi li kien jippreżenta ruħu bħala għodda leġittima u popolari li turi salib tal-mira fuq il-logħob tal-vidjo (Crosshair-X). Utenti li ma kienu jissuspettaw xejn u li kienu jniżżlu u jħaddmu l-verżjoni malizzjuża kienu jattivaw il-programm li jgħabbi l-malware fis-sistema tagħhom. B’hekk kienu jitniżżlu u jitħaddmu fajls malizzjużi oħra mill-infrastruttura tal-attakkant.

Minn hemm, il-malware kien imfassal biex jibda proċess f’diversi stadji biex jikseb privileġġi ogħla, jibqa’ fis-sistema bil-moħbi, javża lill-attur malizzjuż u joħroġ data sensittiva mis-sistema mingħajr ma jinqabad.

L-attur malizzjuż uża l-mudell tagħna biex jgħinu jiżviluppa l-malware pass pass, billi kontinwament talab lil ChatGPT jimplimenta aktar funzjonijiet speċifiċi. ScopeCreep wera firxa ta’ tekniki għat-twassil u t-tħaddim tal-malware, għall-ħarba mill-identifikazzjoni u għall-ħruġ tad-data mis-sistema, fosthom:

• Komponenti malizzjużi tas-C2 mfassla biex jevitaw l-identifikazzjoni bbażata fuq firem.

• Tħaddim bil-moħbi billi jitgħabbew DLLs malizzjużi minflok dawk leġittimi.

• Ħabi tal-kodiċi permezz ta’ ppakkjar apposta b’Themida.

• Ksib ta’ privileġġi ogħla u ħarba mill-identifikazzjoni.

• HTTPS fuq il-port 80.

• Serq ta’ kredenzjali u sessjonijiet.

• Notifiki lill-attakkant permezz ta’ Telegram.

• Ħabi tat-traffiku permezz ta’ proxy.

Minkejja l-isforzi tal-attur malizzjuż għas-sigurtà operattiva u l-mekkaniżmi fil-malware nnifsu biex jevita l-identifikazzjoni, stajna nidentifikaw l-attività bis-saħħa tal-proċess tagħna li jidentifika l-abbuż ċibernetiku fuq skala kbira. Ikkoordinajna mal-fornitur li jospita l-kodiċi biex jitneħħa r-repożitorju malizzjuż u mblukkajna l-kontijiet kollha ta’ ChatGPT marbuta ma’ din l-attività.

L-interazzjonijiet ta’ dan il-grupp ta’ kontijiet mal-mudell koprew firxa wiesgħa ta’ kompiti ta’ żvilupp. Waħda minnhom kienet tinkludi biċċa kodiċi f’Go li fiha l-attur malizzjuż kellu diffikultà b’talba HTTPS, u talab lill-mudell isolvi l-iżball. F’każ ieħor, l-attur malizzjuż talab għajnuna biex juża kmandi ta’ PowerShell permezz ta’ Go ħalli jimmodifika s-settings ta’ Windows Defender, u fittex mod kif iżid esklużjonijiet tal-antivirus permezz tal-kodiċi.

Eżempji rappreżentattivi ta’ dawn l-attivitajiet jistgħu jiġu kklassifikati skont il-qafas LLM ATT&CK kif ġej:

• L-użu ta’ LLMs biex jiġi kkompilat fajl, python310.dll, sabiex il-kodiċi tagħhom jitħaddem kull meta jitħaddem python.exe: Żvilupp bl-Għajnuna tal-LLMs.

• Is-soluzzjoni ta’ żbalji b’ċertifikati SSL/TLS maħsuba biex iservu traffiku HTTPS fuq il-port 80: Żvilupp bl-Għajnuna tal-LLMs.

• Il-migrazzjoni, bl-għajnuna tal-mudell, ta’ server C2 ibbażat fuq Flask għal server WSGI lest għall-użu fil-produzzjoni: Żvilupp bl-Għajnuna tal-LLMs.

• L-iżvilupp ta’ kmandi ta’ PowerShell f’Go biex jimmodifikaw is-settings ta’ Windows Defender u jżidu esklużjonijiet tal-antivirus: Ħarba mill-Identifikazzjoni tal-Anomaliji Mtejba bl-LLMs.

• Is-soluzzjoni ta’ żbalji fil-kodiċi biex jintbagħtu notifiki lil kanal ta’ Telegram ikkontrollat mill-attakkant meta tiġi kompromessa vittma ġdida: Attività wara l-Kompromess bl-Għajnuna tal-LLMs.

F’dan l-istadju, l-impatt ta’ ScopeCreep seta’ ttaffa bis-saħħa ta’ rappurtar rapidu u kollaborazzjoni mill-qrib ma’ sħab fl-industrija li setgħu jneħħu r-repożitorju malizzjuż. Imblukkajna l-kontijiet ta’ OpenAI użati minn dan l-avversarju.

Skont il-valutazzjoni tagħna, dan l-attur malizzjuż uża l-mudelli tagħna f’tentattiv biex iħaffef l-operazzjonijiet tiegħu ta’ żvilupp tal-malware. Paradossalment, dan tana wkoll l-opportunità li nidentifikaw u nwaqqfu t-theddida malajr, u f’dak li deher li kien l-istadju bikri tagħha.

Għalkemm il-kapaċitajiet ta’ dan il-malware jinkludu l-ksib ta’ privileġġi ogħla, il-persistenza fis-sistema, il-ġbir ta’ kredenzjali u l-aċċess mill-bogħod, dawn mhumiex partikolarment ġodda. Għalkemm dan il-malware x’aktarx kien attiv barra mill-ambjenti ta’ ttestjar, u xi kampjuni dehru fuq VirusTotal, ma rajna l-ebda evidenza ta’ interess mifrux fih jew ta’ distribuzzjoni wiesgħa.