Podmioty cyberzagrożeń: badanie włamań wspomagane przez AI

To studium przypadku opublikowano pierwotnie w raporcie OpenAI z lutego 2025 r.⁠(otwiera nowe okno).

Zablokowaliśmy konta wykazujące aktywność, która mogła być powiązana z opisywanymi publicznie podmiotami zagrożeń związanymi z Koreańską Republiką Ludowo-Demokratyczną (DPRK). Niektóre z tych kont prowadziły działania wykorzystujące taktyki, techniki i procedury (TTP) charakterystyczne dla grupy zagrożeń znanej jako VELVET CHOLLIMA (znanej też jako Kimsuky i Emerald Sleet)⁠(otwiera nowe okno). Inne konta mogły być powiązane z podmiotem, który według wiarygodnego źródła był związany z grupą STARDUST CHOLLIMA (znaną też jako APT38 i Sapphire Sleet)⁠(otwiera nowe okno). Wykryliśmy te konta dzięki informacji od zaufanego partnera z branży.

Zablokowane konta korzystały z naszych narzędzi głównie w celu wyszukiwania informacji prawdopodobnie związanych z narzędziami lub operacjami służącymi do cyberwłamań. Wykazywały też zainteresowanie tematyką kryptowalut, prawdopodobnie w związku z działaniami motywowanymi finansowo. Takie połączenie działalności finansowej i cybernetycznej jest typowe dla grup zagrożeń powiązanych z DPRK.

Podmioty te używały naszych modeli do uzyskiwania pomocy w programowaniu i debugowaniu, a także do analizowania otwartoźródłowego kodu związanego z bezpieczeństwem. Obejmowało to pomoc w debugowaniu i rozwijaniu publicznie dostępnych narzędzi oraz kodu, które mogły posłużyć do ataków siłowych na protokół pulpitu zdalnego (RDP), a także wsparcie w korzystaniu z otwartoźródłowych narzędzi zdalnej administracji (RAT).

Podczas debugowania lokalizacji punktów rozszerzeń automatycznego uruchamiania (ASEP) i związanych z nimi technik w systemie MacOS podmiot ujawnił adresy URL infrastruktury przejściowej dla plików binarnych (skompilowanych plików wykonywalnych), które najwyraźniej nie były wówczas znane dostawcom zabezpieczeń. Przesłaliśmy te adresy URL do internetowej usługi skanowania, aby ułatwić udostępnienie ich społeczności zajmującej się bezpieczeństwem. Obecnie wielu dostawców niezawodnie wykrywa te pliki binarne, zapewniając ochronę potencjalnym ofiarom.

Poniżej przedstawiono przykładowe działania przyporządkowane do zaproponowanych wcześniej rozszerzeń schematu MITRE ATT&CK^® Framework⁠(otwiera nowe okno) dotyczących LLM:

• Pytania o luki w zabezpieczeniach różnych aplikacji: rozpoznanie oparte na informacjach z LLM.

• Tworzenie i rozwiązywanie problemów klienta RDP w języku C#, który miał umożliwiać ataki siłowe: rozwój oprogramowania wspomagany przez LLM.

• Prośby o kod omijający ostrzeżenia zabezpieczeń przy nieautoryzowanym dostępie przez RDP: rozwój oprogramowania wspomagany przez LLM.

• Prośby o liczne skrypty PowerShell do nawiązywania połączeń RDP, przesyłania i pobierania plików, wykonywania kodu z pamięci oraz zaciemniania treści HTML: techniki tworzenia skryptów udoskonalone przez LLM; unikanie wykrywania anomalii z użyciem LLM.

• Omawianie tworzenia i wdrażania zaciemnionych ładunków do wykonania: optymalizowane przez LLM tworzenie ładunków.

• Poszukiwanie metod ukierunkowanego phishingu i inżynierii społecznej wymierzonych w inwestorów oraz handlowców kryptowalut, a także bardziej ogólnych treści phishingowych: inżynieria społeczna wspierana przez LLM.

• Tworzenie phishingowych wiadomości e-mail i powiadomień mających skłonić użytkowników do ujawnienia poufnych informacji: inżynieria społeczna wspierana przez LLM.

• Analizowanie otwartoźródłowych narzędzi zdalnej administracji (RAT): działania po przejęciu systemu wspomagane przez LLM.

Prompty i zapytania podmiotu opierały się głównie na istniejących informacjach ze źródeł otwartych, a odpowiedzi wygenerowane przez model nie zapewniały żadnych nowych możliwości albo stanowiły odmowę udzielenia odpowiedzi. Zablokowaliśmy konta powiązane z tym podmiotem zagrożeń i udostępniliśmy jego ładunki społeczności zajmującej się bezpieczeństwem, aby dodatkowo zakłócić jego działania.