Kybernetická operácia: Podpora phishingu a skriptovania

Táto prípadová štúdia bola pôvodne uverejnená v správe OpenAI za október 2025⁠(otvorí sa v novom okne).

Identifikovali a zablokovali sme skupinu účtov ChatGPT zapojených do aktivít, ktoré sa prekrývali s verejnými správami o skupinách hrozieb označovaných v odvetví ako UNK_DROPPITCH (Proofpoint) a UTA0388 (Volexity). Minimálne v jednom prípade bola e-mailová adresa použitá na registráciu účtu ChatGPT údajne použitá aj na odosielanie phishingových správ.

Aktéri hrozieb, ktorí tieto účty prevádzkovali, vykazovali znaky typické pre kybernetické operácie slúžiace spravodajským požiadavkám ČĽR: používali čínštinu a zameriavali sa na taiwanský polovodičový sektor, akademickú obec a think-tanky v USA, ako aj na organizácie spojené s etnickými a politickými skupinami kritickými voči Komunistickej strane Číny, niekedy označovanými ako „päť jedov“.

Náš model neposkytol žiadne nové útočné schopnosti. Zdá sa, že operátori používali naše modely najmä na postupné zefektívňovanie existujúcich pracovných postupov, predovšetkým pri tvorbe phishingového obsahu a ladení či úprave svojich nástrojov.

Aktéri používali ChatGPT na dve hlavné úlohy: tvorbu obsahu pre phishingové kampane vo viacerých jazykoch vrátane zjednodušenej aj tradičnej čínštiny, angličtiny a japončiny a pomoc pri vývoji nástrojov a malvéru. Ich vývojová činnosť zodpovedala technicky zdatnému, no nie príliš sofistikovanému aktérovi. Diskutovali napríklad o viacerých aspektoch a nuansách použitia AES na zabezpečenie komunikácie C2, napriek tomu však používali jednoduchý statický kľúč.

Postup aktérov pri tvorbe phishingového obsahu bol podrobný a šablónovitý, čo zodpovedalo zameraniu na presne vymedzenú demografickú skupinu. Zvyčajne vytvorili stručný, formálne zdvorilý e-mail vystupujúci v mene osoby z akademického prostredia, priemyslu alebo konferencie. Aktéri hrozieb často žiadali upraviť tón, nahradiť výrazy regionálne používanými ekvivalentmi alebo doplniť konkrétne odkazy na inštitúcie. Hoci tieto cielené drobné úpravy naznačujú koordinovanú snahu zvýšiť kvalitu pôvodného obsahu, aktéri hrozieb neopravili niektoré prezrádzajúce detaily, napríklad nevierohodné vzorové kontaktné údaje v podpisoch.

Žiadali o úryvky kódu a kontrolné zoznamy, ktoré by urýchlili rutinné úlohy. Žiadali o kód na testovanie šifrovaných prenosov (HTTPS, TLS) pri jednoduchom periodickom dopytovaní typu beacon, navrhovali úryvky v Go a PowerShelli na výpis procesov, ukončenie procesu podľa názvu spustiteľného súboru či zhromažďovanie údajov o prostredí a prepájali bežne dostupné skenery s obalovými skriptmi v bashi a PowerShelli.

Model tiež žiadali o návrhy jednoduchej obfuskácie a menších úprav prevádzkovej bezpečnosti (OPSEC), napríklad premenovanie funkcií, úpravu hlavičiek či skrytie reťazcov. Počas viacerých relácií smerovali k základným prototypom riadenia a velenia, ktoré zodpovedali malvéru s nízkou až strednou úrovňou vyspelosti. Zahŕňali cykly keep-alive, minimálne zadávanie úloh cez HTTP(S) a obálky úloh a výsledkov založené na JSON.

Implementačné detaily niektorých vývojových aktivít aktéra v jazyku Go sa prekrývajú s informáciami z odvetvia o malvéri označovanom ako GOVERSHELL (Volexity) alebo HealthKick (Proofpoint). To naznačuje, že sa pomocou modelov pokúšal podporiť vývoj svojho hlavného malvéru.

Popri práci na personách a vývoji nástrojov operátori skúmali ďalšiu automatizáciu, ktorú by mohli dosiahnuť prostredníctvom DeepSeeku. Táto aktivita pripomínala prieskumnú prácu zameranú na automatizáciu hromadného phishingu, napríklad analýzou webového obsahu s cieľom automaticky vytvoriť zoznam cieľových e-mailových adries spolu s obsahom, ktorý by mohol zaujať každý identifikovaný potenciálny cieľ. Nedokážeme nezávisle potvrdiť, či aktéri takúto automatizáciu skutočne použili, ani ktorý model si prípadne napokon zvolili.

Aktéri sa pokúšali používať naše modely na plánovanie a opakované zdokonaľovanie šifrovaných komponentov C2, pracovných postupov na vzdialené vykonávanie príkazov a kultúrne prispôsobenej komunikácie. Dôraz kládli najmä na rýchlosť a lokalizáciu, nie na nové útočné schopnosti. Vytvorili výstupy modelov, ktoré mali zrejme podporovať aktivity mimo našej platformy vo viacerých operačných oblastiach:

• Šifrované C2 a vzdialené vykonávanie: žiadosti o vytvorenie alebo opravu klientsko-serverového kódu v Go so šifrovaním správ, napríklad pomocou AES-GCM, obnovovaním kľúčov relácie, signalizáciou systémových informácií a serverovou konzolou na zadávanie príkazov PowerShellu cez štandardné webové protokoly alebo kanál založený na WebSockete.

• Ochrana prenosu a úpravy OPSEC: žiadosti zahŕňali kód na prechod z nešifrovaných WebSocketov na zabezpečené WebSockety (wss://) a z HTTP na HTTPS, vypnutie kontroly certifikátov pri niektorých testoch, maskovanie prenosu prostredníctvom CDN alebo vstupnej vrstvy TLS a spracovanie väčších správ bez zlyhania klienta.

• Prieskum a riadenie procesov: žiadosti o informácie týkajúce sa zisťovania antivírusov pomocou PowerShellu, výpisu procesov a ukončovania konkrétnych procesov Edge alebo WebView2.

• Nastavenie bežne dostupných skenerov: návody na inštaláciu a používanie open-source nástrojov, ako sú nuclei a fscan, v komerčnej linuxovej infraštruktúre a ukladanie výsledkov na neskoršiu kontrolu.

• Phishingový a oslovovací obsah: tvorba presvedčivých e-mailov vo viacerých jazykoch určených kontaktom z akademického prostredia alebo priemyslu vrátane predmetov a štýlu prispôsobeného miestnym normám.

Tieto aktivity zodpovedajú kategóriám LLM ATT&CK vrátane LLM-Optimized Payload Crafting, LLM-Enhanced Anomaly-Detection Evasion, LLM-Assisted Post-Compromise Activity, LLM-Assisted Reconnaissance and Discovery a LLM-Assisted Social Engineering.

Zablokovali sme všetky účty súvisiace s touto aktivitou a príslušné indikátory sme poskytli partnerom v odvetví. Aktéri sa usilovali najmä o postupné zefektívnenie existujúcich pracovných postupov vrátane tvorby phishingových e-mailov pripravených na odoslanie a skrátenia cyklov opakovaných úprav rutinného kódu a automatizácie. Nezaznamenali sme dôkazy, že by výstupy modelu umožnili schopnosti presahujúce dobre zdokumentované verejne známe techniky. Náš model neposkytol žiadne nové útočné schopnosti. Výhoda, ktorú sa snažili získať pomocou modelu, spočívala v jazykovej plynulosti, lokalizácii a vytrvalosti: pravdepodobne menej jazykových chýb, rýchlejšia tvorba prepájacieho kódu a pohotovejšie úpravy v prípade zlyhania.