Operasjon «ScopeCreep»: Russisktalende aktørs utvikling av skadevare

Denne casestudien ble opprinnelig publisert i OpenAIs rapport fra juni 2025⁠(åpnes i et nytt vindu).

Vi utestengte en gruppe ChatGPT‑kontoer som så ut til å bli drevet av en russisktalende trusselaktør. Aktøren brukte modellene våre til å få hjelp med å utvikle og forbedre skadevare for Windows, feilsøke kode på flere programmeringsspråk og sette opp infrastrukturen sin for kommando og kontroll.

Aktøren viste kunnskap om hvordan Windows fungerer internt, og tok enkelte forholdsregler for operasjonell sikkerhet. Fordi operasjonen fokuserte på bruk av et «siktekorsverktøy» for spill med en innebygd trojaner og benyttet skjulte fremgangsmåter, har vi kalt den «ScopeCreep».

Denne trusselaktøren hadde en bemerkelsesverdig tilnærming til operasjonell sikkerhet. Aktøren brukte midlertidige e-postadresser til å opprette ChatGPT‑kontoer og begrenset hver konto til én samtale om én liten forbedring av koden. Deretter forlot aktøren den opprinnelige kontoen og opprettet en ny.

Aktøren distribuerte ScopeCreep-skadevaren gjennom et offentlig tilgjengelig kodelager som utga seg for å tilby et legitimt og populært verktøy for å legge et siktekors over spillbildet (Crosshair-X). Intetanende brukere som lastet ned og kjørte den ondsinnede versjonen, startet skadevarens lasteprogram på systemet sitt. Dette førte til at flere ondsinnede filer ble lastet ned fra angriperens infrastruktur og kjørt.

Derfra var skadevaren utformet for å starte en prosess i flere trinn for å oppnå høyere tilgangsrettigheter, etablere skjult og vedvarende tilgang, varsle trusselaktøren og hente ut sensitive data uten å bli oppdaget.

Trusselaktøren brukte modellen vår til å få hjelp med trinnvis utvikling av skadevaren ved stadig å be ChatGPT om å implementere flere spesifikke funksjoner. ScopeCreep benyttet en rekke teknikker for levering, kjøring, omgåelse av deteksjon og uthenting av data, blant annet:

• C2-nyttelaster utformet for å unngå signaturbasert deteksjon.

• Skjult kjøring via sidelasting av DLL-filer.

• Tilsløring gjennom tilpasset pakking med Themida.

• Rettighetseskalering og omgåelse av deteksjon.

• HTTPS over port 80.

• Tyveri av påloggingsinformasjon og økter.

• Varsler til angriperen via Telegram.

• Proxybasert tilsløring av trafikk.

Til tross for trusselaktørens tiltak for operasjonell sikkerhet og mekanismene i selve skadevaren for å unngå deteksjon, klarte vi å oppdage aktiviteten gjennom prosessen vår for å avdekke cybermisbruk i stor skala. Vi samarbeidet med kodevertsleverandøren om å fjerne det ondsinnede kodelageret og utestengte alle ChatGPT‑kontoer knyttet til denne aktiviteten.

Modellsamtalene fra denne kontogruppen omfattet et bredt spekter av utviklingsoppgaver. Én av dem inneholdt en kodesnutt i Go der trusselaktøren hadde problemer med en HTTPS-forespørsel og ba modellen om å feilsøke den. I et annet tilfelle ba trusselaktøren om hjelp til å bruke PowerShell-kommandoer via Go for å endre innstillingene i Windows Defender, og lette etter en måte å legge til antivirusunntak programmatisk på.

Representative eksempler på disse aktivitetene kan knyttes til LLM ATT&CK-rammeverket slik:

• Bruk av LLM-er til å kompilere filen python310.dll, slik at aktørens kode kjøres hver gang python.exe kjøres: LLM-støttet utvikling.

• Feilsøking av SSL/TLS-sertifikater beregnet på å betjene HTTPS-trafikk på port 80: LLM-støttet utvikling.

• Modellstøttet migrering av en Flask-basert C2-server til en produksjonsklar WSGI-server: LLM-støttet utvikling.

• Utvikling av PowerShell-kommandoer i Go for å endre innstillingene i Windows Defender og legge til antivirusunntak: LLM-forsterket omgåelse av avviksdeteksjon.

• Feilsøking av kode som varsler en angriperkontrollert Telegram-kanal når et nytt offer kompromitteres: LLM-støttet aktivitet etter kompromittering.

På dette stadiet kan konsekvensene av ScopeCreep ha blitt begrenset gjennom rask rapportering og tett samarbeid med bransjepartnere som fikk fjernet det ondsinnede kodelageret. Vi utestengte OpenAI-kontoene som denne trusselaktøren brukte.

Vi vurderer det slik at denne trusselaktøren brukte modellene våre i et forsøk på å utvikle skadevaren raskere. Paradoksalt nok ga dette oss også en mulighet til raskt å identifisere og stanse trusselen mens den så ut til å være i en tidlig fase.

Skadevaren har funksjoner for rettighetseskalering, vedvarende tilgang, innsamling av påloggingsinformasjon og fjerntilgang, men disse er ikke spesielt nyskapende. Selv om skadevaren sannsynligvis var i aktiv bruk, og enkelte eksemplarer dukket opp på VirusTotal, så vi ingen tegn til bred interesse eller omfattende spredning.