Agentes de ciberameaças: investigação de intrusões assistida por IA

Este estudo de caso foi originalmente publicado no relatório da OpenAI de fevereiro de 2025⁠(abre numa nova janela).

Bloqueámos contas com atividade potencialmente associada a agentes de ameaça ligados à República Popular Democrática da Coreia (RPDC), identificados em informações públicas. Algumas destas contas desenvolveram atividades que envolviam táticas, técnicas e procedimentos (TTP) compatíveis com um grupo de ameaça conhecido como VELVET CHOLLIMA (também conhecido como Kimsuky e Emerald Sleet)⁠(abre numa nova janela), enquanto outras poderiam estar relacionadas com um agente que, segundo uma fonte credível, estaria ligado ao STARDUST CHOLLIMA (também conhecido como APT38 e Sapphire Sleet)⁠(abre numa nova janela). Detetámos estas contas após recebermos uma indicação de um parceiro de confiança do setor.

As contas bloqueadas utilizaram sobretudo as nossas ferramentas para procurar informações provavelmente relacionadas com ferramentas ou operações de intrusão informática. Também demonstraram interesse por temas relacionados com criptomoedas, provavelmente no âmbito de atividades com motivações financeiras. Esta combinação de atividades financeiras e informáticas é típica dos grupos de ameaça associados à RPDC.

Os agentes utilizaram os nossos modelos para obter ajuda com programação e depuração, bem como para pesquisar código aberto relacionado com segurança. Isto incluiu assistência na depuração e no desenvolvimento de ferramentas e código disponíveis publicamente que poderiam ser utilizados em ataques de força bruta ao Protocolo de Ambiente de Trabalho Remoto (RDP), bem como assistência na utilização de ferramentas de administração remota (RAT) de código aberto.

Durante a depuração de localizações e técnicas de pontos de extensibilidade de arranque automático (ASEP) para macOS, o agente revelou URLs de preparação para ficheiros binários (ficheiros executáveis compilados) que, na altura, pareciam ser desconhecidos dos fornecedores de soluções de segurança. Enviámos os URLs de preparação para um serviço de análise online, a fim de facilitar a sua partilha com a comunidade de segurança. Os ficheiros binários são agora detetados de forma fiável por vários fornecedores, o que protege potenciais vítimas.

Apresentamos abaixo uma amostra das atividades, classificadas segundo extensões temáticas de LLM anteriormente propostas para a estrutura MITRE ATT&CK^®⁠(abre numa nova janela):

• Perguntas sobre vulnerabilidades em várias aplicações: reconhecimento apoiado por LLM.

• Desenvolvimento e resolução de problemas de um cliente RDP baseado em C# para permitir ataques de força bruta: desenvolvimento assistido por LLM.

• Pedido de código para contornar avisos de segurança e obter acesso RDP não autorizado: desenvolvimento assistido por LLM.

• Pedido de vários scripts de PowerShell para ligações RDP, carregamento e transferência de ficheiros, execução de código a partir da memória e ofuscação de conteúdo HTML: técnicas de scripting melhoradas por LLM; evasão à deteção de anomalias melhorada por LLM.

• Discussão sobre a criação e implementação de cargas úteis ofuscadas para execução: criação de cargas úteis otimizada por LLM.

• Procura de métodos para realizar phishing direcionado e engenharia social contra investidores e negociantes de criptomoedas, além de conteúdos de phishing mais genéricos: engenharia social apoiada por LLM.

• Criação de e-mails de phishing e notificações para manipular os utilizadores e levá-los a revelar informações sensíveis: engenharia social apoiada por LLM.

• Pesquisa de ferramentas de administração remota (RAT) de código aberto: atividade pós-comprometimento assistida por LLM.

Os prompts e as consultas do agente baseavam-se sobretudo em informações de código aberto já existentes, e as respostas fornecidas pelo modelo não ofereciam capacidades novas ou recusavam responder. Bloqueámos as contas associadas ao agente de ameaça e partilhámos as respetivas cargas úteis com a comunidade de segurança, para dificultar ainda mais as suas operações.