Cyberoperation: stöd för nätfiske och skript

Denna fallstudie publicerades ursprungligen i OpenAI:s rapport från oktober 2025⁠(öppnas i ett nytt fönster).

Vi identifierade och blockerade en grupp ChatGPT‑konton som deltog i aktiviteter med kopplingar till hotaktörer som i offentliga branschrapporter spåras som UNK_DROPPITCH (Proofpoint) och UTA0388 (Volexity). I minst ett fall ska den e-postadress som användes för att registrera ett ChatGPT‑konto även ha använts för att skicka nätfiskemeddelanden.

Hotaktörerna bakom kontona uppvisade kännetecken som stämmer överens med cyberoperationer till stöd för kinesiska underrättelsebehov: användning av kinesiska och inriktning mot Taiwans halvledarsektor, amerikanska universitet och tankesmedjor samt organisationer med koppling till etniska och politiska grupper som är kritiska mot CCP, ibland kallade ”de fem gifterna”.

Vår Modell tillförde inga nya offensiva förmågor. Operatörerna verkar främst ha använt våra Modeller för att stegvis effektivisera befintliga arbetsflöden, särskilt genom att skapa nätfiskeinnehåll samt felsöka eller modifiera sina verktyg.

Aktörerna använde ChatGPT för två huvudsakliga uppgifter: att skapa innehåll för nätfiskekampanjer på flera språk, däribland förenklad och traditionell kinesiska, engelska och japanska, samt att få hjälp med att utveckla verktyg och skadlig kod. Deras utvecklingsarbete tydde på en aktör som var tekniskt kompetent men inte särskilt avancerad. De diskuterade exempelvis flera aspekter och nyanser av att använda AES för att skydda C2-trafik, men använde ändå en enkel statisk nyckel.

Aktörernas metod för att skapa nätfiskeinnehåll var detaljerad och formelartad, vilket stämmer överens med att de riktade sig mot en tydligt avgränsad målgrupp. Vanligtvis skapade de ett kortfattat och formellt artigt e-postmeddelande från en påhittad avsändare inom akademin, näringslivet eller en konferensorganisation. Hotaktörerna bad ofta om att få tonen justerad, termer utbytta mot regionala motsvarigheter eller specifika hänvisningar till institutioner tillagda. Även om dessa riktade mikrojusteringar tyder på en samordnad insats för att höja kvaliteten på det ursprungliga innehållet missade hotaktörerna att rätta vissa avslöjande detaljer, exempelvis osannolika kontaktuppgifter i sina signaturer.

De bad om kodavsnitt och checklistor som kunde påskynda rutinuppgifter. De efterfrågade kod för att testa krypterade överföringar (HTTPS, TLS) för enkel, signaleringsliknande avfrågning, tog fram Go- och PowerShell-kod för att lista processer, avsluta dem utifrån filnamn eller samla in information om miljön och kopplade standardiserade skanningsverktyg till omslutande bash- och PowerShell-skript.

De bad också Modellen att föreslå enkel obfuskering och mindre förbättringar av operationssäkerheten (OPSEC), såsom att byta namn på funktioner, justera sidhuvuden eller dölja strängar. Under flera sessioner arbetade de mot grundläggande prototyper för ledning och styrning, förenliga med skadlig kod på låg till medelhög mognadsnivå. Dessa omfattade keep-alive-loopar, minimal uppgiftstilldelning via HTTP(S) och JSON-baserade format för uppgifter och resultat.

Implementeringsdetaljer i vissa av aktörens Go-baserade utvecklingsaktiviteter överlappar med branschrapportering om skadlig kod som spåras som GOVERSHELL (Volexity) eller HealthKick (Proofpoint). Det tyder på att Modeller användes i försök att stödja utvecklingen av aktörens huvudsakliga skadliga kod.

Vid sidan av arbetet med identiteter och verktygsutvecklingen undersökte operatörerna ytterligare automatisering som kunde genomföras med DeepSeek. Aktiviteten liknade utforskande arbete för att automatisera nätfiske i stor skala, exempelvis genom att analysera webbinnehåll för att automatiskt skapa en lista över e-postmål och generera innehåll som sannolikt skulle intressera varje identifierat potentiellt mål. Vi kan inte oberoende bekräfta om aktörerna gick vidare med någon sådan automatisering eller vilken Modell de i så fall slutligen använde.

Aktörerna försökte använda våra Modeller för att planera och vidareutveckla krypterade C2-komponenter, arbetsflöden för fjärrkörning av kommandon och kulturellt anpassad kontaktverksamhet. De prioriterade främst snabbhet och lokalisering snarare än nya offensiva förmågor. De genererade Modellresultat som verkade avsedda att stödja aktiviteter utanför vår plattform inom flera operativa områden:

• Krypterad C2 och fjärrkörning: begäranden om att skriva eller reparera klient–serverkod i Go med meddelandekryptering som AES-GCM, byte av sessionsnycklar, systeminformationssignaler och en serverkonsol för att utfärda PowerShell-kommandon via vanliga webbprotokoll eller en WebSocket-baserad kanal.

• Trafikskydd och OPSEC-justeringar: begärandena omfattade kod för övergång från okrypterade WebSockets till säkra WebSockets (wss://) och från HTTP till HTTPS, inaktivering av certifikatkontroller i vissa tester, maskering av trafik via ett CDN-/TLS-gränssnitt samt hantering av större meddelanden utan klientkrascher.

• Rekognosering och processkontroll: begäranden om information om att identifiera antivirusprogram via PowerShell, lista processer och avsluta specifika Edge-/WebView2-processer.

• Konfiguration av standardskanning: praktisk hjälp med att installera och använda verktyg med öppen källkod, såsom nuclei och fscan, på kommersiell Linux-infrastruktur samt att spara resultat för senare granskning.

• Innehåll för nätfiske och kontaktverksamhet: utkast till övertygande e-postmeddelanden på flera språk riktade till kontakter inom akademin eller näringslivet, inklusive ämnesrader och en stil anpassad till lokala normer.

Dessa aktiviteter motsvarar bland annat följande kategorier i LLM ATT&CK: LLM-Optimized Payload Crafting, LLM-Enhanced Anomaly-Detection Evasion, LLM-Assisted Post-Compromise Activity, LLM-Assisted Reconnaissance and Discovery och LLM-Assisted Social Engineering.

Vi inaktiverade samtliga konton med koppling till aktiviteten och delade relevanta indikatorer med branschpartner. Aktörerna försökte främst stegvis effektivisera befintliga arbetsflöden, bland annat genom att ta fram färdiga nätfiskemeddelanden och förkorta iterationscyklerna för rutinkod och automatisering. Vi såg inga belägg för att Modellresultaten möjliggjorde förmågor utöver väl dokumenterade offentliga tekniker. Vår Modell tillförde inga nya offensiva förmågor. Den operativa fördel som aktörerna sökte med hjälp av Modellen kom från språklig säkerhet, lokalisering och uthållighet: sannolikt färre språkfel, snabbare sammanbindande kod och snabbare justeringar när något inte fungerade.