இணையவெளி நடவடிக்கை: ரஷ்ய மொழி பேசுவோரின் தீம்பொருள் கருவிகள்

இந்த நிகழ்வாய்வு முதலில் OpenAI-யின் அக்டோபர் 2025⁠(புதிய சாளரத்தில் திறக்கும்) அறிக்கையில் வெளியிடப்பட்டது.

தொலைநிலை அணுகல் ட்ரோஜன், உள்நுழைவுச் சான்றுகளைத் திருடும் கருவிகள், கண்டறிதலைத் தவிர்க்கும் அம்சங்கள் உள்ளிட்ட தீம்பொருளை உருவாக்கவும் மேம்படுத்தவும் மாடலைப் பயன்படுத்த முயன்ற ChatGPT கணக்குகளை நாங்கள் தடைசெய்தோம். இந்தக் கணக்குகள் ரஷ்ய மொழி பேசும் குற்றக் குழுக்களுடன் தொடர்புடையவையாகத் தெரிகின்றன. ஏனெனில், அத்தகைய செயல்பாட்டாளர்களுக்கான Telegram சேனலில் அவர்கள் தங்கள் செயல்பாடுகளுக்கான ஆதாரங்களைப் பதிவிட்டதை நாங்கள் கண்டோம். பல கணக்குகளை நிர்வகித்து, பதிலி சேவையகங்களையும் குறுகிய கால வழங்கல் உள்கட்டமைப்பையும் பயன்படுத்திய ரஷ்ய மொழி பேசும் Operator ஒருவருடன் இந்தச் செயல்பாடு தொடர்புடையது என்று எங்கள் விசாரணையின் அடிப்படையில் மதிப்பிடுகிறோம்.

ஊடுருவலுக்குப் பிந்தைய நடவடிக்கைகளுக்கும் உள்நுழைவுச் சான்றுத் திருட்டுக்கும் உதவும் தொழில்நுட்பக் கூறுகளின் முன்மாதிரிகளை உருவாக்கவும் சிக்கல்களைச் சரிசெய்யவும் இந்த அச்சுறுத்தல் தரப்பு பல ChatGPT கணக்குகளைப் பயன்படுத்தியது. இத்தகைய அச்சுறுத்தல் தரப்புகள் பொதுவாக மேற்கொள்ளும் செயல்பாடுகள் இவை. தீங்கிழைக்கும் உள்ளடக்கத்தை உருவாக்குமாறு நேரடியாக விடுக்கப்பட்ட கோரிக்கைகளை மாடல் மறுத்தது. எனவே, தொகுக்கப்பட்ட செயல்படுத்தக்கூடிய கோப்புகளை ஷெல்கோடாக மாற்றுதல், நினைவகத்திலேயே இயங்கும் ஏற்றிகளை வடிவமைத்தல், உலாவி உள்நுழைவுச் சான்றுகளைப் பகுத்தல் போன்ற அடிப்படைக் கட்டுமான நிரல்களைப் பெறுவதே Operator வழக்கமாக மாடலைப் பயன்படுத்திய விதமாக இருந்தது. பின்னர் அச்சுறுத்தல் தரப்பு இவற்றைத் தீங்கிழைக்கும் செயல்பாட்டுத் தொடர்களாக இணைத்திருக்கலாம்.

மறைத்தல் மற்றும் “மறையாக்கி” வடிவங்களுக்கான நிரலை உருவாக்கவும் அச்சுறுத்தல் தரப்பு எங்கள் மாடல்களைப் பயன்படுத்தியது. நிரப்புக் கட்டளைகள் மற்றும் பயனற்ற கட்டளைத் தொடர்களைச் சேர்த்தல், நகலெடுப்புப் பலகையைக் கண்காணித்தல், Telegram தானியங்கிக் கணக்கு பதிவேற்றி மற்றும் காப்பகப்படுத்தி அனுப்பும் நிரல்கள் போன்ற எளிய தரவு வெளியேற்ற உதவிகள் ஆகியவை இதில் அடங்கும். எங்கள் தளத்திற்கு வெளியே ஓர் அச்சுறுத்தல் தரப்பு இவற்றைத் தீங்கிழைக்கும் விதத்தில் பயன்படுத்தாத வரை, இந்த வெளியீடுகள் இயல்பாகவே தீங்கானவை அல்ல.

தாழ்நிலை PE / Win32 API மற்றும் DPAPI / AES GCM நினைவி கையாளுதல், Chrome DevTools / CDP தானியக்கம் போன்ற பெரும்பாலும் தொழில்நுட்பம் சார்ந்த பணிகளுக்கு அச்சுறுத்தல் தரப்பு ChatGPT‑ஐப் பயன்படுத்தியது. அச்சுறுத்தல் தரப்பு மிகவும் நுட்பமான மற்றும் குறைந்த நுட்பமுள்ள கோரிக்கைகளை முன்வைத்தது. பல தூண்டுதல்களுக்கு Windows தளம் குறித்த ஆழமான அறிவும் மீண்டும் மீண்டும் பிழைநீக்கும் பணியும் தேவைப்பட்டன. பிற கோரிக்கைகள் பெருமளவில் கடவுச்சொற்களை உருவாக்குதல், நிரல்கள் மூலம் வேலைக்கு விண்ணப்பித்தல் போன்ற பொதுவான பணிகளைத் தானியக்கமாக்கின. Operator குறைந்த எண்ணிக்கையிலான ChatGPT கணக்குகளைப் பயன்படுத்தி, உரையாடல்கள்தோறும் அதே நிரலை மீண்டும் மீண்டும் மேம்படுத்தினார். இது அவ்வப்போது செய்யப்படும் சோதனையைவிடத் தொடர்ச்சியான உருவாக்கப் பணியுடன் ஒத்துப்போகும் முறை.

அச்சுறுத்தல் தரப்பின் எந்தக் கருவியையோ செயல்பாட்டுத் தொடரையோ இயக்க எங்கள் மாடல்கள் பயன்படுத்தப்படவில்லை. எங்கள் தளத்திற்கு வெளியே நடந்த எந்தச் செயல்பாட்டையும் எங்களால் தனித்துச் சரிபார்க்க முடியவில்லை. உள்நுழைவுச் சான்றுகளையும் மறையாக்க நாணயச் சொத்துகளையும் திருடுதல், மறைவாக நிரலை இயக்குதல், இரகசிய உள்கட்டமைப்பை நிர்வகித்தல் ஆகியவற்றுக்கு உதவக்கூடிய தாக்குதல் கருவிகளையும் செயல்பாட்டுத் தொடர்களையும் உருவாக்கி மேம்படுத்த இந்த அச்சுறுத்தல் தரப்பு எங்கள் மாடல்களைப் பயன்படுத்த முயன்றது.

குறிப்பாக, நினைவகத்திலேயே நிரலை இயக்குதல் மற்றும் ஷெல்கோடு ஏற்றிகள், UAC / SmartScreen / Mark-of-the-Web தடைகளைத் தாண்டுதல், உலாவி உள்நுழைவுச் சான்றுகள் / நினைவிகளைப் பிரித்தெடுத்தல் மற்றும் செயலியுடன் பிணைக்கப்பட்ட மறைவிலக்கத்திற்கான அடிப்படைகள், LevelDB பணப்பைப் பகுத்தல், தரவு வெளியேற்றத்துடன் நகலெடுப்புப் பலகையைக் கைப்பற்றும் / அதன் உள்ளடக்கத்தை மாற்றும் கருவிகள், காணொளி மற்றும் உள்ளீட்டைப் பாவனை செய்யும் வசதி உள்ளிட்ட தொலைநிலை அணுகல் (RAT) கூறுகள் ஆகியவற்றுக்கான செயல்படும் நிரலையும் நிறுவல் வழிகாட்டுதலையும் உருவாக்கி மீண்டும் மீண்டும் மேம்படுத்த அவர்கள் ChatGPT‑ஐப் பயன்படுத்தினர். எங்கள் மாடல்கள் அவற்றின் பாதுகாப்பு ஏற்பாடுகளுக்கு இணங்க, தெளிவாகத் தீங்கிழைப்பவையாகவும் முறையான பயன்பாடு இல்லாதவையாகவும் இருந்த கோரிக்கைகளை மறுத்தன.

இந்தச் செயல்பாடுகளின் பிரதிநிதித்துவ எடுத்துக்காட்டுகளை LLM ATT&CK கட்டமைப்புடன் பின்வருமாறு பொருத்தலாம்:

இந்தச் செயல்பாட்டுடன் தொடர்புடைய அனைத்துக் கணக்குகளையும் முடக்கி, தொடர்புடைய அறிகுறிகளைத் துறைசார் கூட்டாளர்களுடன் பகிர்ந்தோம். பொதுவில் கிடைக்கும் பல்வேறு ஆதாரங்களிலிருந்து இந்தச் செயல்பாட்டாளர்கள் பெற முடியாத புதிய திறன்களையோ வழிமுறைகளையோ எங்கள் மாடல்களுக்கான அணுகல் வழங்கியதற்கான எந்த ஆதாரத்தையும் நாங்கள் காணவில்லை. சுரண்டல் மற்றும் விசை அழுத்தப் பதிவு தொடர்பான நேரடிக் கோரிக்கைகளை எங்கள் மாடல்கள் மறுத்தன.