Cyberhotaktörer: AI-stödd kartläggning av intrångsmetoder

Den här fallstudien publicerades ursprungligen i OpenAI:s rapport från februari 2025⁠(öppnas i ett nytt fönster).

Vi stängde av konton vars aktivitet kunde kopplas till offentligt rapporterade hotaktörer med anknytning till Demokratiska folkrepubliken Korea (DPRK). Vissa av dessa konton ägnade sig åt aktivitet med taktiker, tekniker och procedurer som stämde överens med hotgruppen VELVET CHOLLIMA (även kallad Kimsuky och Emerald Sleet)⁠(öppnas i ett nytt fönster), medan andra konton kunde vara kopplade till en aktör som enligt en trovärdig källa hade anknytning till STARDUST CHOLLIMA (även kallad APT38 och Sapphire Sleet)⁠(öppnas i ett nytt fönster). Vi upptäckte dessa konton efter ett tips från en betrodd branschpartner.

De avstängda kontona använde främst våra verktyg för att söka information som sannolikt rörde verktyg eller insatser för cyberintrång. De visade även intresse för kryptovalutarelaterade ämnen, sannolikt i samband med ekonomiskt motiverad verksamhet. Denna kombination av ekonomisk och cyberrelaterad aktivitet är typisk för DPRK-anknutna hotgrupper.

Aktörerna använde våra modeller för hjälp med programmering och felsökning samt för att undersöka säkerhetsrelaterad öppen källkod. Det omfattade hjälp med felsökning och utveckling av allmänt tillgängliga verktyg och kod som kunde användas för råstyrkeattacker mot Remote Desktop Protocol (RDP), samt hjälp med att använda fjärradministrationsverktyg med öppen källkod (RAT).

När aktören felsökte platser och tekniker för utökningspunkter för autostart (ASEP) i macOS avslöjades mellanlagrings-URL:er för binärfiler (kompilerade körbara filer) som vid den tidpunkten tycktes vara okända för säkerhetsleverantörerna. Vi skickade mellanlagrings-URL:erna till en webbaserad skanningstjänst för att underlätta delning inom säkerhetsbranschen. Binärfilerna identifieras nu på ett tillförlitligt sätt av flera leverantörer, vilket skyddar potentiella offer.

Nedan visas ett exempel på aktivitet som kartlagts enligt tidigare föreslagna LLM-relaterade utökningar av MITRE ATT&CK^®-ramverket⁠(öppnas i ett nytt fönster):

• Frågor om sårbarheter i olika program: LLM-understödd rekognosering.

• Utveckling och felsökning av en C#-baserad RDP-klient för råstyrkeattacker: LLM-stödd utveckling.

• Begäran om kod för att kringgå säkerhetsvarningar vid obehörig RDP-åtkomst: LLM-stödd utveckling.

• Begäran om ett stort antal PowerShell-skript för RDP-anslutningar, uppladdning och nedladdning av filer, körning av kod från minnet samt obfuskering av HTML-innehåll: LLM-förbättrade skripttekniker; LLM-förbättrat kringgående av anomalidetektering.

• Diskussion om att skapa och distribuera obfuskerade nyttolaster för körning: LLM-optimerad framställning av nyttolaster.

• Sökning efter metoder för riktat nätfiske och social manipulation mot investerare och handlare inom kryptovalutor samt mer allmänt nätfiskeinnehåll: LLM-stödd social manipulation.

• Utformning av nätfiskemejl och aviseringar för att förmå användare att avslöja känslig information: LLM-stödd social manipulation.

• Undersökning av fjärradministrationsverktyg med öppen källkod (RAT): LLM-stödd aktivitet efter intrång.

Aktörens instruktioner och frågor byggde främst på befintlig information från öppna källor. De genererade modellsvaren tillförde antingen inga nya förmågor eller avböjde att svara. Vi stängde av de konton som var kopplade till hotaktören och delade aktörens nyttolaster med säkerhetsbranschen för att ytterligare störa verksamheten.