Cyberoperatie: ondersteuning bij phishing en scripting

Deze casestudy is oorspronkelijk gepubliceerd in het rapport van OpenAI van oktober 2025⁠(opent in een nieuw venster).

We identificeerden en blokkeerden een cluster ChatGPT‑accounts die betrokken waren bij activiteiten die overlapten met openbare berichtgeving over dreigingsgroepen die in de sector worden gevolgd als UNK_DROPPITCH (Proofpoint) en UTA0388 (Volexity). In ten minste één geval was het e-mailadres waarmee een ChatGPT‑account werd geregistreerd naar verluidt ook gebruikt om phishingberichten te versturen.

De dreigingsactoren achter deze accounts vertoonden kenmerken die passen bij cyberoperaties ten dienste van de inlichtingenbehoeften van de Volksrepubliek China: het gebruik van het Chinees en aanvallen op de Taiwanese halfgeleidersector, Amerikaanse universiteiten en denktanks, en organisaties die verbonden zijn aan etnische en politieke groepen die kritisch staan tegenover de Communistische Partij van China en soms de "vijf vergiften" worden genoemd.

Ons model leverde geen nieuwe offensieve mogelijkheden op. De operators lijken onze modellen vooral te hebben gebruikt om bestaande workflows stapsgewijs efficiënter te maken, met name voor het opstellen van phishingcontent en het debuggen of aanpassen van hun tools.

De actoren gebruikten ChatGPT voor twee hoofdtaken: content genereren voor phishingcampagnes in meerdere talen, waaronder vereenvoudigd en traditioneel Chinees, Engels en Japans, en helpen bij de ontwikkeling van tools en malware. Hun ontwikkelwerk paste bij een technisch bekwame maar weinig geavanceerde actor. Zo bespraken ze verschillende aspecten en nuances van het gebruik van AES om C2-verkeer te beveiligen, maar gebruikten ze nog steeds een eenvoudige statische sleutel.

Het draaiboek van de actoren voor het maken van phishingcontent was gedetailleerd en formulematig, passend bij het benaderen van een nauwkeurig afgebakende doelgroep. Doorgaans lieten ze een beknopte, formeel beleefde e-mail opstellen vanuit de persona van iemand uit de academische wereld, het bedrijfsleven of een conferentieorganisatie. De dreigingsactoren vroegen vaak om de toon aan te passen, termen te vervangen door regionaal gangbare varianten of specifieke verwijzingen naar instellingen toe te voegen. Hoewel deze gerichte kleine aanpassingen wijzen op een doelbewuste poging om de kwaliteit van hun oorspronkelijke content te verhogen, corrigeerden de dreigingsactoren sommige verraderlijke details niet, zoals ongeloofwaardige voorbeeldcontactgegevens in hun ondertekeningen.

Ze vroegen om codefragmenten en checklists waarmee routinetaken sneller konden worden uitgevoerd. Ze vroegen om code waarmee versleutelde transportprotocollen (HTTPS, TLS) konden worden getest voor eenvoudige periodieke beacon-communicatie; schetsten Go- en PowerShell-fragmenten om processen op te sommen, processen op basis van de naam van het uitvoerbare bestand te beëindigen of omgevingsgegevens te verzamelen; en integreerden gangbare scanners in bash-/PowerShell-wrappers.

Ze vroegen het model ook om eenvoudige verbeteringen voor obfuscatie en operationele beveiliging (OPSEC) voor te stellen, zoals functies hernoemen, headers aanpassen of tekenreeksen verbergen. In meerdere sessies werkten ze toe naar eenvoudige command-and-controlprototypes die passen bij malware met een laag tot gemiddeld ontwikkelingsniveau, waaronder keep-alive-lussen, minimale taakverstrekking via HTTP(S) en op JSON gebaseerde omhulsels voor taken en resultaten.

Implementatiedetails van sommige Go-ontwikkelactiviteiten van de actor overlappen met sectorrapportages over malware die wordt gevolgd als GOVERSHELL (Volexity) of HealthKick (Proofpoint). Dit suggereert dat de actoren modellen probeerden te gebruiken ter ondersteuning van de ontwikkeling van hun belangrijkste malware.

Naast het werken aan persona's en de ontwikkeling van tools onderzochten de operators welke verdere automatisering via DeepSeek mogelijk was. Deze activiteit leek op verkennend werk om phishing op grote schaal te automatiseren, bijvoorbeeld door webcontent te analyseren en daarmee automatisch een lijst met e-maildoelwitten te genereren, samen met gegenereerde content die waarschijnlijk interessant was voor elk geïdentificeerd potentieel doelwit. We kunnen niet onafhankelijk bevestigen of de actoren daadwerkelijk met dergelijke automatisering zijn doorgegaan en, zo ja, welk model ze uiteindelijk hebben gebruikt.

De actoren probeerden onze modellen te gebruiken om versleutelde C2-componenten, workflows voor het op afstand uitvoeren van opdrachten en cultureel afgestemde benaderingen te plannen en stapsgewijs te verbeteren. Daarbij hechtten ze vooral waarde aan snelheid en lokalisatie, niet aan nieuwe offensieve mogelijkheden. Ze genereerden modeluitvoer die bedoeld leek om activiteiten buiten ons platform te ondersteunen op meerdere operationele gebieden:

• Versleutelde C2 en uitvoering op afstand: verzoeken om Go-client-servercode op te stellen of te repareren, met berichtversleuteling zoals AES-GCM, vernieuwing van sessiesleutels, beacons voor systeeminformatie en een serverconsole om PowerShell-opdrachten te versturen via standaardwebprotocollen of een op WebSocket gebaseerd kanaal.

• Verkeersbeveiliging en OPSEC-aanpassingen: verzoeken betroffen onder meer code om over te stappen van gewone WebSockets naar beveiligde WebSockets (wss://) en van HTTP naar HTTPS; het uitschakelen van certificaatcontroles in sommige tests; het laten opgaan van verkeer in ander verkeer via een CDN-/TLS-frontend; en het verwerken van grotere berichten zonder dat clients vastliepen.

• Verkenning en procesbeheer: verzoeken om informatie over het detecteren van antivirussoftware via PowerShell, het opsommen van processen en het beëindigen van specifieke Edge-/WebView2-processen.

• Configuratie van gangbare scanners: praktische hulp bij het installeren en gebruiken van opensourcetools zoals nuclei en fscan op commerciële Linux-infrastructuur en het opslaan van resultaten voor latere beoordeling.

• Phishing- en benaderingscontent: overtuigende e-mails in meerdere talen opstellen voor contacten in de academische wereld of het bedrijfsleven, met onderwerpregels en een stijl die waren afgestemd op lokale normen.

Deze activiteiten vallen onder LLM ATT&CK-categorieën, waaronder LLM-Optimized Payload Crafting, LLM-Enhanced Anomaly-Detection Evasion, LLM-Assisted Post-Compromise Activity, LLM-Assisted Reconnaissance and Discovery en LLM-Assisted Social Engineering.

We hebben alle accounts die met deze activiteit verband hielden uitgeschakeld en relevante indicatoren gedeeld met partners in de sector. De actoren probeerden vooral bestaande workflows stapsgewijs efficiënter te maken, onder meer door verzendklare phishingmails te produceren en de iteratiecycli voor routinematige code en automatisering te verkorten. We zagen geen bewijs dat modeluitvoer mogelijkheden bood die verder gingen dan goed gedocumenteerde openbare technieken; ons model leverde geen nieuwe offensieve mogelijkheden op. Het operationele voordeel dat ze met hulp van het model zochten, kwam voort uit taalvaardigheid, lokalisatie en volharding: waarschijnlijk minder taalfouten, sneller ontwikkelde verbindingscode en snellere aanpassingen wanneer iets niet werkte.