ปฏิบัติการ “ScopeCreep”: การพัฒนามัลแวร์โดยผู้ใช้ภาษารัสเซีย

กรณีศึกษานี้เผยแพร่ครั้งแรกในรายงานของ OpenAI ฉบับมิถุนายน 2025⁠(เปิดในหน้าต่างใหม่)ดังกล่าว

เราแบนกลุ่มบัญชี ChatGPT ที่ดูเหมือนจะดำเนินการโดยผู้ก่อภัยคุกคามที่ใช้ภาษารัสเซีย ผู้ก่อภัยคุกคามรายนี้ใช้โมเดลของเราเพื่อช่วยพัฒนาและปรับแต่งมัลแวร์สำหรับ Windows แก้จุดบกพร่องของโค้ดในหลายภาษา และตั้งค่าโครงสร้างพื้นฐานสำหรับการสั่งการและควบคุม

ผู้ก่อภัยคุกคามรายนี้แสดงให้เห็นว่ามีความรู้เกี่ยวกับระบบภายในของ Windows และมีพฤติกรรมด้านความมั่นคงปลอดภัยในการปฏิบัติการบางประการ เนื่องจากปฏิบัติการนี้มุ่งใช้เครื่องมือเกมเล็งเป้าที่ฝังโทรจันและใช้กลยุทธ์หลบซ่อน เราจึงตั้งชื่อปฏิบัติการนี้ว่า “ScopeCreep”

ผู้ก่อภัยคุกคามรายนี้ใช้แนวทางด้านความมั่นคงปลอดภัยในการปฏิบัติการที่โดดเด่น พวกเขาใช้อีเมลชั่วคราวสมัครบัญชี ChatGPT โดยจำกัดให้แต่ละบัญชี ChatGPT สนทนาเพียงครั้งเดียวเกี่ยวกับการปรับปรุงโค้ดทีละส่วน จากนั้นก็เลิกใช้บัญชีเดิมและสร้างบัญชีใหม่

ผู้ก่อภัยคุกคามเผยแพร่มัลแวร์ ScopeCreep ผ่าน Repository โค้ดที่เปิดให้สาธารณชนเข้าถึง โดยปลอมเป็นเครื่องมือแสดงเป้าเล็งยอดนิยมและถูกต้องตามกฎหมายสำหรับวิดีโอเกม (Crosshair-X) เมื่อผู้ใช้ที่ไม่ทันระวังดาวน์โหลดและเรียกใช้เวอร์ชันอันตราย ตัวโหลดมัลแวร์จะเริ่มทำงานในระบบ ส่งผลให้มีการดาวน์โหลดและเรียกใช้ไฟล์อันตรายเพิ่มเติมจากโครงสร้างพื้นฐานของผู้โจมตี

จากนั้นมัลแวร์จะเริ่มกระบวนการหลายขั้นตอนเพื่อยกระดับสิทธิ์ แฝงตัวอยู่ในระบบอย่างแนบเนียน แจ้งผู้ก่อภัยคุกคาม และลอบส่งข้อมูลที่ละเอียดอ่อนออกไปพร้อมหลบเลี่ยงการตรวจจับ

ผู้ก่อภัยคุกคามใช้โมเดลของเราช่วยพัฒนามัลแวร์แบบวนซ้ำ โดยขอให้ ChatGPT เพิ่มฟีเจอร์เฉพาะเจาะจงอย่างต่อเนื่อง ScopeCreep ใช้เทคนิคหลากหลายในการส่งมัลแวร์ การเรียกใช้ การหลบเลี่ยง และการลอบส่งข้อมูลออกไป ซึ่งรวมถึง:

• เพย์โหลด C2 ที่ออกแบบมาให้หลบเลี่ยงการตรวจจับด้วยลายเซ็น

• การเรียกใช้อย่างแนบเนียนผ่านการทำ DLL side-loading

• การอำพรางด้วยการแพ็กแบบกำหนดเองโดยใช้ Themida

• การยกระดับสิทธิ์และการหลบเลี่ยง

• การใช้ HTTPS ผ่านพอร์ต 80

• การขโมยข้อมูลประจำตัวและเซสชัน

• การแจ้งเตือนผู้โจมตีผ่าน Telegram

• การอำพรางทราฟฟิกผ่านพร็อกซี

แม้ผู้ก่อภัยคุกคามจะพยายามรักษาความมั่นคงปลอดภัยในการปฏิบัติการและตัวมัลแวร์จะมีกลไกหลบเลี่ยงการตรวจจับ แต่เรายังตรวจพบกิจกรรมนี้ได้ด้วยกระบวนการตรวจจับการใช้ระบบในทางที่ผิดด้านไซเบอร์ที่รองรับการทำงานในวงกว้าง เราประสานงานกับผู้ให้บริการโฮสต์โค้ดเพื่อถอด Repository อันตรายออก และแบนบัญชี ChatGPT ทั้งหมดที่เกี่ยวข้องกับกิจกรรมนี้

การโต้ตอบกับโมเดลจากกลุ่มบัญชีนี้ครอบคลุมงานพัฒนาหลากหลายประเภท ในกรณีหนึ่ง ผู้ก่อภัยคุกคามส่งโค้ด Go บางส่วนที่มีปัญหากับคำขอ HTTPS และขอให้โมเดลช่วยแก้จุดบกพร่อง ในอีกกรณีหนึ่ง ผู้ก่อภัยคุกคามขอความช่วยเหลือในการใช้คำสั่ง PowerShell ผ่าน Go เพื่อแก้ไขการตั้งค่า Windows Defender โดยต้องการวิธีเพิ่มข้อยกเว้นของโปรแกรมป้องกันไวรัสด้วยโค้ด

ตัวอย่างกิจกรรมเหล่านี้สามารถจับคู่กับกรอบงาน LLM ATT&CK ได้ดังนี้:

• ใช้ LLM คอมไพล์ไฟล์ python310.dll เพื่อให้โค้ดทำงานทุกครั้งที่เรียกใช้ python.exe: การพัฒนาโดยมี LLM ช่วย

• แก้ไขข้อผิดพลาดเกี่ยวกับใบรับรอง SSL/TLS ที่ออกแบบมาเพื่อให้บริการทราฟฟิก HTTPS บนพอร์ต 80: การพัฒนาโดยมี LLM ช่วย

• ใช้โมเดลช่วยย้ายเซิร์ฟเวอร์ C2 ที่ใช้ Flask ไปยังเซิร์ฟเวอร์ WSGI ที่พร้อมใช้งานจริง: การพัฒนาโดยมี LLM ช่วย

• พัฒนาคำสั่ง PowerShell ใน Go เพื่อแก้ไขการตั้งค่า Windows Defender และเพิ่มข้อยกเว้นของโปรแกรมป้องกันไวรัส: การหลบเลี่ยงการตรวจจับความผิดปกติโดยเสริมศักยภาพด้วย LLM

• แก้จุดบกพร่องของโค้ดที่ใช้แจ้งเตือนช่อง Telegram ซึ่งผู้โจมตีควบคุมอยู่ เมื่อมีเหยื่อรายใหม่ถูกเจาะระบบ: กิจกรรมหลังเจาะระบบสำเร็จโดยมี LLM ช่วย

ในขั้นนี้ ผลกระทบของ ScopeCreep อาจบรรเทาลงได้จากการรายงานอย่างรวดเร็วและความร่วมมืออย่างใกล้ชิดกับพันธมิตรในอุตสาหกรรม ซึ่งสามารถถอด Repository อันตรายออกได้ เราแบนบัญชี OpenAI ที่ฝ่ายตรงข้ามรายนี้ใช้

เราประเมินว่าผู้ก่อภัยคุกคามรายนี้ใช้โมเดลของเราเพื่อเร่งกระบวนการพัฒนามัลแวร์ แต่ในทางกลับกัน เรื่องนี้ก็เปิดโอกาสให้เราระบุและสกัดกั้นภัยคุกคามได้อย่างรวดเร็วในช่วงที่ดูเหมือนจะยังอยู่ในระยะเริ่มต้น

แม้มัลแวร์นี้จะมีความสามารถในการยกระดับสิทธิ์ แฝงตัวอยู่ในระบบ เก็บข้อมูลประจำตัว และเข้าถึงจากระยะไกล แต่ความสามารถเหล่านี้ไม่ได้แปลกใหม่เป็นพิเศษ แม้มัลแวร์นี้น่าจะถูกใช้งานจริงแล้ว และมีตัวอย่างบางส่วนปรากฏบน VirusTotal แต่เราไม่พบหลักฐานว่ามีผู้สนใจหรือนำไปเผยแพร่ในวงกว้าง