Operațiune cibernetică: asistență pentru phishing și crearea de scripturi

Acest studiu de caz a fost publicat inițial în raportul OpenAI din octombrie 2025⁠(se deschide într-o fereastră nouă).

Am identificat și am interzis un grup de conturi ChatGPT implicate în activități asociate relatărilor publice despre grupurile de amenințare desemnate în industrie drept UNK_DROPPITCH (Proofpoint) și UTA0388 (Volexity). În cel puțin un caz, adresa de e-mail folosită pentru înregistrarea unui cont ChatGPT ar fi fost utilizată și pentru trimiterea unor mesaje de phishing.

Actorii care operau aceste conturi prezentau indicii compatibile cu operațiuni cibernetice desfășurate în sprijinul cerințelor de informații ale RPC: utilizarea limbii chineze și vizarea sectorului semiconductorilor din Taiwan, a mediului academic și a institutelor de cercetare din SUA, precum și a organizațiilor asociate grupurilor etnice și politice care critică PCC, denumite uneori „cele cinci otrăvuri”.

Modelul nostru nu a introdus capabilități ofensive noi. Operatorii par să fi folosit modelele noastre în principal pentru a eficientiza treptat fluxurile de lucru existente, mai ales pentru a crea conținut de phishing și a depana sau modifica instrumentele utilizate.

Actorii au folosit ChatGPT pentru două sarcini principale: generarea de conținut pentru campanii de phishing în mai multe limbi, inclusiv chineză simplificată și tradițională, engleză și japoneză, precum și sprijinirea dezvoltării de instrumente și programe malware. Activitatea lor de dezvoltare era specifică unui actor competent din punct de vedere tehnic, dar lipsit de sofisticare. De exemplu, au discutat mai multe aspecte și subtilități ale utilizării AES pentru securizarea traficului C2, însă au folosit în continuare o cheie statică simplă.

Metoda folosită de actori pentru crearea conținutului de phishing era detaliată și stereotipă, în concordanță cu vizarea unui grup demografic bine definit. De regulă, generau un e-mail concis și politicos, atribuit unei identități din mediul academic, industrie sau din cadrul unei conferințe. Actorii solicitau adesea ajustarea tonului, înlocuirea unor termeni cu variante regionale sau adăugarea unor referințe instituționale precise. Deși aceste microajustări specifice sugerează un efort concertat de îmbunătățire a conținutului inițial, actorii nu au corectat unele detalii care îi puteau da de gol, precum datele de contact fictive neverosimile incluse în blocurile de semnătură.

Au solicitat fragmente de cod și liste de verificare care să accelereze sarcinile de rutină. Au solicitat cod pentru testarea transporturilor criptate (HTTPS, TLS) în vederea interogărilor periodice simple, de tip beacon; au schițat fragmente Go și PowerShell pentru enumerarea proceselor, închiderea acestora după numele executabilului sau colectarea detaliilor despre mediu; și au integrat scanere uzuale în scripturi wrapper bash/PowerShell.

De asemenea, au cerut modelului să sugereze metode simple de disimulare și mici îmbunătățiri ale securității operaționale (OPSEC): redenumirea funcțiilor, ajustarea antetelor sau ascunderea șirurilor de caractere. În mai multe sesiuni, au urmărit dezvoltarea unor prototipuri elementare de comandă și control, specifice programelor malware cu un nivel redus sau mediu de maturitate, inclusiv bucle keep-alive, transmiterea unor sarcini minimale prin HTTP(S) și structuri JSON pentru sarcini și rezultate.

Detaliile de implementare din unele activități de dezvoltare în Go ale actorilor coincid cu relatările din industrie despre programele malware desemnate drept GOVERSHELL (Volexity) sau HealthKick (Proofpoint), ceea ce sugerează că aceștia au încercat să folosească modele pentru a sprijini dezvoltarea programului lor malware principal.

Pe lângă elaborarea acestor identități și dezvoltarea instrumentelor, operatorii au cercetat posibilități suplimentare de automatizare prin DeepSeek. Această activitate semăna cu o explorare a automatizării campaniilor de phishing în masă, de exemplu prin analizarea conținutului web pentru a genera automat o listă de destinatari, împreună cu un conținut susceptibil să prezinte interes pentru fiecare potențială țintă identificată. Nu putem confirma în mod independent dacă actorii au implementat o astfel de automatizare și nici ce model ar fi folosit în cele din urmă, dacă au făcut-o.

Actorii au încercat să folosească modelele noastre pentru a planifica și perfecționa componente C2 criptate, fluxuri de lucru pentru executarea comenzilor de la distanță și mesaje adaptate cultural, punând accent în principal pe viteză și localizare, nu pe capabilități ofensive noi. Au generat răspunsuri ale modelului care păreau destinate sprijinirii activităților din afara platformei noastre în mai multe domenii operaționale:

• C2 criptat și execuție de la distanță: solicitări de scriere sau remediere a codului client-server în Go, cu criptarea mesajelor prin metode precum AES-GCM, schimbarea cheilor de sesiune, semnale beacon cu informații despre sistem și o consolă de server pentru lansarea comenzilor PowerShell prin protocoale web standard sau printr-un canal bazat pe WebSocket.

• Protejarea traficului și ajustări OPSEC: solicitările au inclus cod pentru trecerea de la WebSocket necriptat la WebSocket securizat (wss://) și de la HTTP la HTTPS; dezactivarea verificării certificatelor în unele teste; disimularea traficului printr-un CDN/front-end TLS; precum și gestionarea mesajelor mai mari fără blocarea clienților.

• Recunoaștere și controlul proceselor: solicitări de informații despre detectarea soluțiilor antivirus prin PowerShell, enumerarea proceselor și închiderea anumitor procese Edge/WebView2.

• Configurarea scanerelor uzuale: instrucțiuni pentru instalarea și utilizarea unor instrumente open-source precum nuclei și fscan pe infrastructură Linux comercială și salvarea rezultatelor pentru analiză ulterioară.

• Conținut pentru phishing și contactare: redactarea în mai multe limbi a unor e-mailuri persuasive destinate contactelor din mediul academic sau din industrie, inclusiv subiecte și un stil adaptat normelor locale.

Aceste activități corespund unor categorii LLM ATT&CK, printre care LLM-Optimized Payload Crafting, LLM-Enhanced Anomaly-Detection Evasion, LLM-Assisted Post-Compromise Activity, LLM-Assisted Reconnaissance and Discovery și LLM-Assisted Social Engineering.

Am dezactivat toate conturile asociate acestei activități și am transmis indicatorii relevanți partenerilor din industrie. Actorii urmăreau în principal eficientizarea treptată a fluxurilor de lucru existente, inclusiv prin realizarea unor e-mailuri de phishing gata de trimis și scurtarea ciclurilor de iterare pentru codul și automatizările de rutină. Nu am găsit dovezi că răspunsurile modelului ar fi permis capabilități care depășesc tehnicile publice bine documentate; modelul nostru nu a introdus capabilități ofensive noi. Avantajul operațional urmărit prin utilizarea modelului provenea din fluența lingvistică, localizare și perseverență: probabil mai puține greșeli de limbă, cod de integrare produs mai rapid și ajustări mai prompte atunci când ceva nu funcționa.