ဆိုက်ဘာခြိမ်းခြောက်သူများ—AI အကူအညီဖြင့် စနစ်ဖောက်ထွင်းရေး လေ့လာမှု

ဤဖြစ်ရပ်လေ့လာချက်ကို OpenAI ၏ ၂၀၂၅ ခုနှစ် ဖေဖော်ဝါရီလ⁠(ဝင်းဒိုးအသစ်တွင် ဖွင့်မည်) အစီရင်ခံစာတွင် မူလထုတ်ဝေခဲ့သည်။

လူသိရှင်ကြား ထုတ်ပြန်ထားသော ကိုရီးယားဒီမိုကရက်တစ်ပြည်သူ့သမ္မတနိုင်ငံ (DPRK) နှင့် ဆက်နွှယ်သည့် ဆိုက်ဘာခြိမ်းခြောက်သူများနှင့် ဆက်စပ်နိုင်ဖွယ်ရှိသော လုပ်ဆောင်ချက်များ တွေ့ရှိရသည့် အကောင့်များကို ကျွန်ုပ်တို့ ပိတ်ပင်ခဲ့သည်။ အဆိုပါအကောင့်အချို့သည် VELVET CHOLLIMA (Kimsuky၊ Emerald Sleet ဟုလည်းခေါ်)⁠(ဝင်းဒိုးအသစ်တွင် ဖွင့်မည်) အမည်ရှိ ခြိမ်းခြောက်အုပ်စု၏ နည်းဗျူဟာ၊ နည်းစနစ်နှင့် လုပ်ထုံးလုပ်နည်းများ (TTPs) နှင့် ကိုက်ညီသည့် လုပ်ဆောင်ချက်များတွင် ပါဝင်ခဲ့သည်။ အခြားအကောင့်များမှာမူ ယုံကြည်ရသော ရင်းမြစ်တစ်ခု၏ သုံးသပ်ချက်အရ STARDUST CHOLLIMA (APT38၊ Sapphire Sleet ဟုလည်းခေါ်)⁠(ဝင်းဒိုးအသစ်တွင် ဖွင့်မည်) နှင့် ဆက်နွှယ်နေသည့် လုပ်ဆောင်သူတစ်ဦးနှင့် ဆက်စပ်နိုင်ဖွယ်ရှိသည်။ ယုံကြည်ရသော လုပ်ငန်းမိတ်ဖက်တစ်ဦး၏ သတင်းပေးချက်အရ ဤအကောင့်များကို ကျွန်ုပ်တို့ ရှာဖွေတွေ့ရှိခဲ့သည်။

ပိတ်ပင်ခံရသော အကောင့်များသည် ဆိုက်ဘာစနစ် ဖောက်ထွင်းရေးကိရိယာများ သို့မဟုတ် စစ်ဆင်ရေးများနှင့် ဆက်စပ်နိုင်ဖွယ်ရှိသော အချက်အလက်များ ရှာဖွေရန် ကျွန်ုပ်တို့၏ ကိရိယာများကို အဓိက အသုံးပြုခဲ့သည်။ ၎င်းတို့သည် ငွေကြေးအကျိုးအမြတ်အတွက် လုပ်ဆောင်မှုများနှင့် ဆက်စပ်နိုင်ဖွယ်ရှိသည့် ခရစ်ပတိုငွေကြေးဆိုင်ရာ အကြောင်းအရာများကိုလည်း စိတ်ဝင်စားကြောင်း ပြသခဲ့သည်။ ငွေကြေးနှင့် ဆိုက်ဘာဆိုင်ရာ လုပ်ဆောင်မှုများ ယခုကဲ့သို့ ရောနှောနေခြင်းသည် DPRK နှင့် ဆက်နွှယ်သော ခြိမ်းခြောက်အုပ်စုများတွင် တွေ့ရလေ့ရှိသည်။

လုပ်ဆောင်သူများသည် ကုဒ်ရေးသားရာတွင် အကူအညီရယူခြင်း၊ အမှားရှာပြင်ခြင်းနှင့် လုံခြုံရေးဆိုင်ရာ open-source ကုဒ်များကို လေ့လာခြင်းတို့အတွက် ကျွန်ုပ်တို့၏ မော်ဒယ်များကို အသုံးပြုခဲ့သည်။ ၎င်းတွင် Remote Desktop Protocol (RDP) ကို brute-force တိုက်ခိုက်မှုများအတွက် အသုံးပြုနိုင်သည့် အများပြည်သူ ရယူအသုံးပြုနိုင်သော ကိရိယာများနှင့် ကုဒ်များကို အမှားရှာပြင်ရန်နှင့် ဖန်တီးရန် အကူအညီရယူခြင်းအပြင် open-source Remote Administration Tools (RAT) များ အသုံးပြုပုံနှင့်ပတ်သက်၍ အကူအညီရယူခြင်းတို့ ပါဝင်သည်။

MacOS အတွက် အလိုအလျောက်စတင်သည့် extensibility point (ASEP) တည်နေရာများနှင့် နည်းစနစ်များကို အမှားရှာပြင်နေစဉ် လုပ်ဆောင်သူက ထိုအချိန်၌ လုံခြုံရေးဝန်ဆောင်မှုပေးသူများ မသိရှိသေးပုံရသည့် binary ဖိုင်များ (compile လုပ်ထားသော executable ဖိုင်များ) တင်ထားရာ URL များကို ထုတ်ဖော်ခဲ့သည်။ လုံခြုံရေးအသိုင်းအဝိုင်းနှင့် မျှဝေနိုင်ရန် အဆိုပါ URL များကို အွန်လိုင်းစကင်ဖတ်စစ်ဆေးရေး ဝန်ဆောင်မှုတစ်ခုထံ ကျွန်ုပ်တို့ ပေးပို့ခဲ့သည်။ ယခုအခါ ဝန်ဆောင်မှုပေးသူအများအပြားက ထို binary ဖိုင်များကို ယုံကြည်စိတ်ချစွာ ရှာဖွေဖော်ထုတ်နိုင်ပြီဖြစ်သဖြင့် ဖြစ်နိုင်ခြေရှိသော သားကောင်များကို အကာအကွယ်ပေးနိုင်သည်။

ယခင်က အဆိုပြုထားသော LLM အကြောင်းအရာအခြေပြု MITRE ATT&CK^® မူဘောင်⁠(ဝင်းဒိုးအသစ်တွင် ဖွင့်မည်) တိုးချဲ့ချက်များနှင့် ချိတ်ဆက်ဖော်ပြထားသည့် လုပ်ဆောင်ချက်နမူနာကို အောက်တွင် ပြထားသည်။

• အပလီကေးရှင်းအမျိုးမျိုးရှိ အားနည်းချက်များကို မေးမြန်းခြင်း—LLM မှ အချက်အလက်ရယူသော ကင်းထောက်လေ့လာမှု။

• Brute-force တိုက်ခိုက်မှုများ ပြုလုပ်နိုင်ရန် C# အခြေခံ RDP client တစ်ခုကို ဖန်တီးပြီး ပြဿနာရှာဖြေရှင်းခြင်း—LLM အထောက်အကူပြု ဖွံ့ဖြိုးတိုးတက်ရေး။

• ခွင့်ပြုချက်မရှိဘဲ RDP အသုံးပြုရာတွင် လုံခြုံရေးသတိပေးချက်များကို ကျော်လွှားရန် ကုဒ်တောင်းဆိုခြင်း—LLM အထောက်အကူပြု ဖွံ့ဖြိုးတိုးတက်ရေး။

• RDP ချိတ်ဆက်မှု၊ ဖိုင်တင်ခြင်း/ဒေါင်းလုဒ်လုပ်ခြင်း၊ memory မှ ကုဒ်ကို လုပ်ဆောင်ခြင်းနှင့် HTML အကြောင်းအရာကို ဖုံးကွယ်ခြင်းတို့အတွက် PowerShell script အများအပြား တောင်းဆိုခြင်း—LLM ဖြင့် မြှင့်တင်ထားသော scripting နည်းစနစ်များ၊ LLM ဖြင့် မြှင့်တင်ထားသော မူမမှန်မှုရှာဖွေခြင်းမှ ရှောင်တိမ်းမှု။

• လုပ်ဆောင်ရန်အတွက် ဖုံးကွယ်ထားသော payload များ ဖန်တီးခြင်းနှင့် ဖြန့်ကျက်ခြင်းကို ဆွေးနွေးခြင်း—LLM ဖြင့် အကောင်းဆုံးဖြစ်အောင် ပြုလုပ်သော payload ဖန်တီးမှု။

• ခရစ်ပတိုငွေကြေး ရင်းနှီးမြှုပ်နှံသူများနှင့် ကုန်သည်များကို ပစ်မှတ်ထားသည့် phishing နှင့် လူမှုအင်ဂျင်နီယာနည်းလမ်းများအပြင် ယေဘုယျ phishing အကြောင်းအရာများ ပြုလုပ်ရန် နည်းလမ်းများ ရှာဖွေခြင်း—LLM အထောက်အကူပြု လူမှုအင်ဂျင်နီယာနည်းလမ်း။

• အသုံးပြုသူများအား အကဲဆတ်သော အချက်အလက်များ ထုတ်ဖော်စေရန် လှည့်စားသည့် phishing အီးမေးလ်များနှင့် အသိပေးချက်များ ရေးသားခြင်း—LLM အထောက်အကူပြု လူမှုအင်ဂျင်နီယာနည်းလမ်း။

• Open-source Remote Administration Tools (RATs) များကို လေ့လာခြင်း—စနစ်ဖောက်ထွင်းပြီးနောက် LLM အကူအညီဖြင့် လုပ်ဆောင်မှု။

လုပ်ဆောင်သူ၏ prompt များနှင့် မေးခွန်းများသည် ရှိပြီးသား open-source အချက်အလက်များကို အဓိက အခြေခံထားပြီး မော်ဒယ်မှ ထုတ်ပေးသည့် အကြောင်းအရာများကလည်း စွမ်းဆောင်ရည်အသစ် မပေးနိုင်ခဲ့ပါ၊ သို့မဟုတ် တုံ့ပြန်ရန် ငြင်းဆိုခဲ့သည်။ ခြိမ်းခြောက်လုပ်ဆောင်သူနှင့် ဆက်နွှယ်သော အကောင့်များကို ကျွန်ုပ်တို့ ပိတ်ပင်ခဲ့ပြီး ၎င်းတို့၏ လုပ်ဆောင်မှုများကို ထပ်မံဟန့်တားနိုင်ရန် payload များကို လုံခြုံရေးအသိုင်းအဝိုင်းနှင့် မျှဝေခဲ့သည်။