Обмањујућа шема запошљавања: активности ИТ радника

Ова студија случаја првобитно је објављена у извештају компаније OpenAI за јун 2025.⁠(отвара се у новом прозору)

Идентификовали смо и забранили ChatGPT налоге повезане са више кампања за које се сумња да су служиле обмањујућем запошљавању. Ови актери претњи користили су моделе компаније OpenAI за израду материјала који су можда подржавали преварне покушаје пријављивања за послове у ИТ-ју, софтверском инжењерству и другим областима које омогућавају рад на даљину широм света.

Иако не можемо да утврдимо локације или држављанство актера претњи, њихово понашање одговарало је активностима које се у јавности приписују шемама са ИТ радницима повезаним са Северном Корејом (ДНРК)⁠(отвара се у новом прозору). Неки од актера повезаних са овим недавним кампањама можда су били ангажовани као спољни сарадници главне групе потенцијално повезане са ДНРК, како би обављали задатке у вези са пријавама и управљали хардвером, укључујући и хардвер у САД.

Слично актерима претњи чије смо активности зауставили и о којима смо писали у фебруару⁠(отвара се у новом прозору), најновије кампање покушале су да користе ВИ у сваком кораку процеса запошљавања. Раније смо уочили да ови актери користе ВИ како би ручно осмишљавали уверљиве лажне идентитете, често наводно из САД, са измишљеним радним искуством у истакнутим компанијама. Овог пута покушали су да донекле аутоматизују израду радних биографија, а неки показатељи упућују на то да су се оператери у Африци представљали као кандидати за посао, док су истовремено регрутовали људе у Северној Америци да у њихово име управљају лаптоповима.

Открили смо два различита тока активности, који су вероватно представљали две врсте оператера: главне оператере и спољне сараднике.

Главни оператери покушали су да аутоматизују израду радних биографија на основу конкретних описа послова, шаблона вештина и профила лажних идентитета, а тражили су и информације о изради алата за управљање пријавама за посао и њихово праћење. Наше моделе користили су и за генерисање садржаја који је личио на огласе за посао намењене регрутовању спољних сарадника у различитим деловима света.

Главни оператери користили су ChatGPT као алат за истраживање приликом осмишљавања начина рада на даљину. Наше моделе користили су и за генерисање текста о регрутовању стварних људи у САД који би преузимали лаптопове компанија, а којима би затим на даљину приступали главни актери претњи или њихови спољни сарадници.

Актери претњи истраживали су употребу алата као што су директни VPN Tailscale, OBS Studio, убацивање видео-преноса уживо преко vdo.ninja и петље за HDMI снимање као део својих операција. Ови алати могу да се користе за заобилажење безбедносних мера компаније и, ако то успе, омогућавају трајно и неприметно присуство на даљину, као и покушаје заобилажења појединих поступака провере идентитета који се ослањају на видео-састанке уживо.

У међувремену, могући оператери ангажовани као спољни сарадници користили су ChatGPT за помоћ при обављању задатака у вези са пријавама за посао. Користили су га и за генерисање садржаја који је личио на поруке главним оператерима са питањима о исплатама и лажним идентитетима коришћеним за пријављивање за послове на даљину.

Утврдили смо да су ови актери претњи покушали да користе наше моделе за обмањујућу операцију. Конкретно, користили су детаљне упите, упутства и аутоматизоване петље како би масовно генерисали прилагођене и уверљиве радне биографије.

• Аутоматизација детаљних радних биографија усклађених са различитим описима послова у технолошком сектору, лажним идентитетима и нормама сектора: друштвени инжењеринг уз подршку великог језичког модела (LLM).

• Одговарање на питања у пријавама за посао, програмерске задатке и питања на разговорима у реалном времену на основу отпремљених радних биографија: друштвени инжењеринг уз подршку великог језичког модела (LLM).

• Тражење упутстава за даљинско подешавање лаптопова које је издала компанија тако да делује као да се налазе у земљи, укључујући прикривање геолокације и методе заобилажења заштите крајњих уређаја: избегавање откривања аномалија унапређено великим језичким моделом (LLM).

• Помоћ при програмирању алата за аутоматско померање миша или одржавање рачунара активним на даљину, вероватно ради успостављања инфраструктуре за рад на даљину: развој уз помоћ великог језичког модела (LLM).

Не можемо независно да проценимо успешност ових операција, јер би за процену њиховог утицаја били потребни подаци више заинтересованих страна.

Иако су актери претњи вероватно укључили ВИ у сваки корак свог процеса како би повећали ефикасност, тиме су повећали и своју изложеност откривању. Пошто су нам омогућили увид у све делове својих радних токова, могли смо да поделимо сазнања о овим кампањама са релевантним колегама из сектора и надлежним органима за сваку фазу њихових активности, чиме смо унапредили заједничку способност откривања, спречавања и сузбијања таквих претњи и допринели заједничкој безбедности.