Cyberoperasjon: Støtte til phishing og skripting

Denne kasusstudien ble opprinnelig publisert i OpenAIs rapport fra oktober 2025⁠(åpnes i et nytt vindu).

Vi identifiserte og utestengte en gruppe ChatGPT‑kontoer knyttet til aktivitet som overlappet med offentlig rapportering om trusselgrupper som i bransjen spores som UNK_DROPPITCH (Proofpoint) og UTA0388 (Volexity). I minst ett tilfelle skal e-postadressen som ble brukt til å registrere en ChatGPT‑konto, også ha blitt brukt til å sende phishing-meldinger.

Trusselaktørene bak disse kontoene viste kjennetegn på cyberoperasjoner utført for å dekke kinesiske etterretningsbehov: De brukte kinesisk og rettet seg mot Taiwans halvledersektor, amerikanske akademiske miljøer og tankesmier samt organisasjoner tilknyttet etniske og politiske grupper som er kritiske til Kinas kommunistparti, og som iblant omtales som «de fem giftene».

Modellen vår tilførte ingen nye offensive kapabiliteter. Operatørene ser hovedsakelig ut til å ha brukt modellene våre for å effektivisere eksisterende arbeidsflyter, særlig utforming av phishing-innhold og feilsøking eller endring av verktøyene sine.

Aktørene brukte ChatGPT til to hovedoppgaver: å generere innhold til phishing-kampanjer på flere språk, blant annet forenklet og tradisjonell kinesisk, engelsk og japansk, og å bidra til utvikling av verktøy og skadevare. Utviklingsarbeidet tydet på en teknisk kompetent, men lite avansert aktør. De diskuterte for eksempel flere sider og nyanser ved bruk av AES for å sikre C2-trafikk, men brukte likevel en enkel, statisk nøkkel.

Aktørenes fremgangsmåte for å lage phishing-innhold var detaljert og skjematisk, i tråd med målretting mot en klart avgrenset befolkningsgruppe. Vanligvis genererte de en kort og formelt høflig e-post fra en avsender som utga seg for å representere akademia, næringslivet eller en konferanse. Trusselaktørene ba ofte om å justere tonen, bytte ut ord med regionale uttrykk eller legge inn konkrete henvisninger til institusjoner. Selv om disse målrettede småendringene tyder på en systematisk innsats for å heve kvaliteten på det opprinnelige innholdet, unnlot trusselaktørene å rette enkelte avslørende detaljer, som usannsynlige kontaktopplysninger i signaturfeltene.

De ba om kodeutdrag og sjekklister som kunne gjøre rutineoppgaver raskere. De ba om kode for å teste krypterte transportprotokoller (HTTPS, TLS) til enkle, periodiske forespørsler av beacon-typen. De skisserte kodeutdrag i Go og PowerShell for å liste opp prosesser, avslutte dem etter navnet på den kjørbare filen eller samle inn miljøinformasjon, og koblet standardskannere til innpakninger i bash / PowerShell.

De ba også modellen foreslå enkel tilsløring og mindre forbedringer av operasjonssikkerheten (OPSEC), som å endre navn på funksjoner, justere headere eller skjule strenger. Gjennom flere økter arbeidet de mot grunnleggende prototyper for kommando og kontroll, i tråd med skadevare på et lavt til middels modenhetsnivå. Dette omfattet keep-alive-sløyfer, enkel oppgavestyring over HTTP(S) og JSON-baserte meldingsformater for oppgaver og resultater.

Implementasjonsdetaljer i noen av aktørens Go-baserte utviklingsaktiviteter samsvarer delvis med bransjerapportering om skadevaren som spores som GOVERSHELL (Volexity) eller HealthKick (Proofpoint). Dette tyder på at de forsøkte å bruke modeller som støtte i utviklingen av den primære skadevaren sin.

Parallelt med arbeidet med avsenderidentiteter og verktøyutviklingen undersøkte operatørene ytterligere automatisering som kunne gjennomføres via DeepSeek. Aktiviteten lignet utforskende arbeid med å automatisere phishing i stor skala, for eksempel ved å analysere nettinnhold for automatisk å lage en liste over e-postmål sammen med generert innhold som sannsynligvis ville interessere hvert identifiserte potensielle mål. Vi kan ikke uavhengig bekrefte om aktørene tok i bruk slik automatisering, eller hvilken modell de eventuelt endte opp med å bruke.

Aktørene forsøkte å bruke modellene våre til å planlegge og videreutvikle krypterte C2-komponenter, arbeidsflyter for ekstern kommandokjøring og kulturelt tilpassede kontaktforsøk. De prioriterte først og fremst hastighet og lokalisering fremfor nye offensive kapabiliteter. De genererte modellsvar som så ut til å skulle støtte aktivitet utenfor plattformen vår på flere operative områder:

• Kryptert C2 og ekstern kjøring: forespørsler om å skrive eller reparere klient–server-kode i Go med meldingskryptering som AES-GCM, utskifting av øktnøkler, beacons med systeminformasjon og en serverkonsoll for å sende PowerShell-kommandoer over standard webprotokoller eller en WebSocket-basert kanal.

• Trafikkbeskyttelse og OPSEC-justeringer: Forespørslene omfattet kode for overgang fra vanlige WebSockets til sikre WebSockets (wss://) og fra HTTP til HTTPS, deaktivering av sertifikatkontroller i enkelte tester, kamuflering av trafikk via et CDN-/TLS-frontledd og håndtering av større meldinger uten at klienten krasjet.

• Rekognosering og prosesskontroll: forespørsler om informasjon knyttet til å finne antivirusprogrammer via PowerShell, liste opp prosesser og avslutte bestemte Edge-/WebView2-prosesser.

• Oppsett av allment tilgjengelige skanneverktøy: praktisk hjelp til å installere og bruke verktøy med åpen kildekode, som nuclei og fscan, på kommersiell Linux-infrastruktur og lagre resultatene for senere gjennomgang.

• Phishing- og kontaktinnhold: utforming av overbevisende e-poster på flere språk til kontakter i akademia eller næringslivet, inkludert emnefelt og stil tilpasset lokale normer.

Disse aktivitetene tilsvarer LLM ATT&CK-kategorier som LLM-Optimized Payload Crafting, LLM-Enhanced Anomaly-Detection Evasion, LLM-Assisted Post-Compromise Activity, LLM-Assisted Reconnaissance and Discovery og LLM-Assisted Social Engineering.

Vi deaktiverte alle kontoer knyttet til denne aktiviteten og delte relevante indikatorer med bransjepartnere. Aktørene forsøkte først og fremst å effektivisere eksisterende arbeidsflyter, blant annet ved å lage sendeklare phishing-e-poster og korte ned iterasjonssyklusene for rutinemessig kodearbeid og automatisering. Vi fant ingen tegn til at modellsvarene muliggjorde kapabiliteter utover veldokumenterte, offentlig kjente teknikker. Modellen vår tilførte ingen nye offensive kapabiliteter. Den operative fordelen aktørene ønsket å oppnå med modellstøtte, var språklig flyt, lokalisering og utholdenhet: trolig færre språkfeil, raskere integrasjonskode og hurtigere justeringer når noe ikke fungerte.