“ScopeCreep” Operasyonu: Rusça konuşan aktörlerin kötü amaçlı yazılım geliştirmesi

Bu vaka çalışması ilk olarak OpenAI’ın Haziran 2025⁠(yeni bir pencerede açılır) raporunda yayımlandı.

Rusça konuşan bir tehdit aktörü tarafından yönetildiği anlaşılan bir grup ChatGPT hesabını yasakladık. Bu aktör; Windows kötü amaçlı yazılımları geliştirip iyileştirmek, birden fazla dildeki kodlarda hata ayıklamak ve komuta-kontrol altyapısını kurmak için modellerimizden yararlandı.

Aktör, Windows’un iç işleyişi hakkında bilgi sahibi olduğunu gösterdi ve bazı operasyonel güvenlik davranışları sergiledi. Operasyonun, truva atı yerleştirilmiş bir “nişangâh” oyun aracını kullanmaya odaklanması ve gizli taktikleri nedeniyle operasyona “ScopeCreep” adını verdik.

Bu tehdit aktörünün operasyonel güvenliğe yaklaşımı dikkat çekiciydi. ChatGPT hesaplarına kaydolmak için geçici e-posta adresleri kullandılar ve her ChatGPT hesabını, kodlarında tek bir aşamalı iyileştirme yapmaya yönelik bir konuşmayla sınırladılar. Ardından önceki hesabı terk edip yeni bir hesap oluşturdular.

Aktör, ScopeCreep kötü amaçlı yazılımını, video oyunlarına yönelik meşru ve popüler bir nişangâh katmanı aracı olan Crosshair-X’i taklit eden, herkese açık bir kod deposu üzerinden dağıttı. Kötü amaçlı sürümü hiçbir şeyden şüphelenmeden indirip çalıştıran kullanıcılar, sistemlerinde kötü amaçlı yazılım yükleyicisini başlatıyor; bunun sonucunda saldırganın altyapısından başka kötü amaçlı dosyalar indirilip çalıştırılıyordu.

Kötü amaçlı yazılım, bu noktadan sonra ayrıcalıkları yükseltmek, gizli kalıcılık sağlamak, tehdit aktörünü bilgilendirmek ve tespit edilmeden hassas verileri sızdırmak üzere çok aşamalı bir süreç başlatacak şekilde tasarlanmıştı.

Tehdit aktörü, ChatGPT’den sürekli olarak belirli yeni özellikler eklemesini isteyerek kötü amaçlı yazılımı yinelemeli biçimde geliştirmek için modelimizden yararlandı. ScopeCreep; dağıtım, yürütme, tespitten kaçınma ve veri sızdırma aşamalarında çeşitli teknikler sergiledi. Bunlar arasında şunlar vardı:

• İmza tabanlı tespitlerden kaçınmak üzere tasarlanmış C2 yükleri.

• DLL yandan yükleme yoluyla gizli yürütme.

• Themida ile özel paketleme yoluyla kod gizleme.

• Ayrıcalık yükseltme ve tespitten kaçınma.

• 80 numaralı bağlantı noktası üzerinden HTTPS.

• Kimlik bilgisi ve oturum hırsızlığı.

• Telegram üzerinden saldırgan bildirimleri.

• Proxy tabanlı trafik gizleme.

Tehdit aktörünün operasyonel güvenlik çabalarına ve kötü amaçlı yazılımdaki tespitten kaçınma mekanizmalarına rağmen, geniş ölçekte yürüttüğümüz siber kötüye kullanım tespit süreci sayesinde bu faaliyeti tespit edebildik. Kötü amaçlı deponun kaldırılması için kod barındırma sağlayıcısıyla koordinasyon kurduk ve bu faaliyetle ilişkili tüm ChatGPT hesaplarını yasakladık.

Bu kümedeki model etkileşimleri çok çeşitli geliştirme görevlerini kapsıyordu. Etkileşimlerden birinde, tehdit aktörünün HTTPS isteğiyle ilgili sorun yaşadığı bir Go kodu parçacığı yer alıyor ve aktör modelden hatayı ayıklamasını istiyordu. Başka bir örnekte tehdit aktörü, Windows Defender ayarlarını değiştirmek için Go üzerinden PowerShell komutlarını kullanma konusunda yardım istedi ve program aracılığıyla antivirüs istisnaları eklemenin bir yolunu aradı.

Bu faaliyetlerin temsili örnekleri LLM ATT&CK çerçevesiyle şu şekilde eşleştirilebilir:

• Kodlarının python.exe her çalıştığında yürütülmesi için python310.dll dosyasını derlemede LLM’leri kullanma: LLM Destekli Geliştirme.

• 80 numaralı bağlantı noktasında HTTPS trafiği sunmak üzere tasarlanmış SSL/TLS sertifikalarındaki hataları giderme: LLM Destekli Geliştirme.

• Flask tabanlı bir C2 sunucusunu üretime hazır bir WSGI sunucusuna model yardımıyla taşıma: LLM Destekli Geliştirme.

• Windows Defender ayarlarını değiştirmek ve antivirüs istisnaları eklemek için Go’da PowerShell komutları geliştirme: LLM ile Geliştirilmiş Anomali Tespitinden Kaçınma.

• Yeni bir kurban ele geçirildiğinde saldırganın kontrolündeki Telegram kanalına bildirim gönderen koddaki hataları ayıklama: LLM Destekli Ele Geçirme Sonrası Faaliyet.

Bu aşamada ScopeCreep’in etkisi, hızlı bildirim ve kötü amaçlı depoyu kaldırabilen sektör ortaklarıyla yakın iş birliği sayesinde azaltılmış olabilir. Bu saldırganın kullandığı OpenAI hesaplarını yasakladık.

Bu tehdit aktörünün, kötü amaçlı yazılım geliştirme operasyonlarını hızlandırmak amacıyla modellerimizden yararlandığını değerlendiriyoruz. Bu durum, paradoksal biçimde, tehdidi hızla ve henüz erken aşamalarında olduğu anlaşılan bir noktada belirleyip engellememize de imkân verdi.

Bu kötü amaçlı yazılımın becerileri arasında ayrıcalık yükseltme, kalıcılık, kimlik bilgisi toplama ve uzaktan erişim bulunsa da bunlar özellikle yeni sayılmaz. Bazı örneklerinin VirusTotal’da görülmesi, bu kötü amaçlı yazılımın muhtemelen gerçek ortamlarda etkin olduğunu gösterse de yaygın ilgi gördüğüne veya dağıtıldığına dair herhangi bir kanıta rastlamadık.