Кібероперація: підтримка фішингу та написання скриптів

Це дослідження вперше опубліковано у звіті OpenAI за жовтень 2025 року⁠(відкривається у новому вікні).

Ми виявили й заблокували групу облікових записів ChatGPT, активність яких збігалася з оприлюдненими даними про групи кіберзагроз, відомі в галузі як UNK_DROPPITCH (Proofpoint) і UTA0388 (Volexity). Принаймні в одному випадку адресу електронної пошти, за допомогою якої зареєстрували обліковий запис ChatGPT, за наявними даними, також використовували для розсилання фішингових повідомлень.

Дії зловмисників, які керували цими обліковими записами, мали ознаки кібероперацій на потреби розвідки КНР: вони використовували китайську мову й атакували напівпровідникову галузь Тайваню, наукові установи та аналітичні центри США, а також організації, пов’язані з етнічними й політичними групами, що критикують КПК і які іноді називають «п’ятьма отрутами».

Наша модель не надала нових можливостей для наступальних операцій. Схоже, оператори переважно використовували наші моделі, щоб дещо підвищити ефективність наявних робочих процесів, зокрема створювати фішингові матеріали, налагоджувати чи модифікувати свої інструменти.

Зловмисники використовували ChatGPT для двох основних завдань: створення матеріалів для фішингових кампаній кількома мовами, зокрема китайською у спрощеному й традиційному письмі, англійською та японською, а також допомоги в розробленні інструментів і шкідливого програмного забезпечення. Їхня розробницька робота вказувала на технічно компетентного, але не надто досвідченого зловмисника. Наприклад, вони обговорювали різні аспекти й нюанси застосування AES для захисту трафіку C2, але все одно використовували простий статичний ключ.

Методика створення фішингових матеріалів була докладною та шаблонною, що відповідало спрямуванню на чітко визначену демографічну групу. Зазвичай вони створювали стислий, офіційно-ввічливий електронний лист від імені представника академічної сфери, галузі або конференції. Зловмисники часто просили змінити тон, замінити слова на звичніші для певного регіону або додати згадки про конкретні установи. Хоча такі точкові правки свідчать про цілеспрямоване прагнення поліпшити початкові матеріали, зловмисники не виправили деякі викривальні деталі, як-от неправдоподібні приклади контактних даних у блоках підпису.

Вони просили фрагменти коду й контрольні списки, які пришвидшили б виконання рутинних завдань. Вони запитували код для перевірки зашифрованих протоколів передавання даних (HTTPS, TLS) під час простого періодичного опитування на кшталт beacon; створювали начерки фрагментів коду Go і PowerShell для переліку процесів, їх завершення за назвою виконуваного файла або збирання відомостей про середовище; а також інтегрували загальнодоступні сканери в оболонки bash / PowerShell.

Вони також просили модель запропонувати прості способи обфускації та незначні поліпшення операційної безпеки (OPSEC): перейменування функцій, зміну заголовків або приховування рядків. Протягом кількох сеансів вони поступово створювали базові прототипи командно-контрольної інфраструктури, характерні для шкідливого ПЗ низького або середнього рівня зрілості: цикли підтримання з’єднання, мінімальне передавання завдань через HTTP(S) та обмін завданнями й результатами у форматі JSON.

Деякі деталі реалізації в їхніх розробках мовою Go збігаються з галузевими звітами про шкідливе ПЗ, відоме як GOVERSHELL (Volexity) або HealthKick (Proofpoint). Це свідчить, що вони намагалися використовувати моделі для підтримки розроблення свого основного шкідливого ПЗ.

Паралельно зі створенням образів і розробленням інструментів оператори досліджували можливості подальшої автоматизації за допомогою DeepSeek. Ця активність нагадувала пошукову роботу з автоматизації масового фішингу — наприклад, аналіз вебконтенту для автоматичного формування списку адресатів і створення матеріалів, які могли б зацікавити кожну виявлену потенційну ціль. Ми не можемо незалежно підтвердити, чи запровадили зловмисники таку автоматизацію та яку модель вони зрештою могли використати.

Зловмисники намагалися використовувати наші моделі для планування й поетапного вдосконалення зашифрованих компонентів C2, процесів віддаленого виконання команд і культурно адаптованих звернень, надаючи перевагу швидкості й локалізації, а не новим наступальним можливостям. Вони отримували від моделей результати, які, імовірно, мали підтримувати діяльність поза нашою платформою в кількох операційних напрямах:

• Зашифрований C2 і віддалене виконання: запити на створення або виправлення клієнт-серверного коду Go із шифруванням повідомлень, зокрема AES-GCM, оновленням ключів сеансу, сигналами beacon із відомостями про систему та серверною консоллю для передавання команд PowerShell через стандартні вебпротоколи або канал на основі WebSocket.

• Захист трафіку й удосконалення OPSEC: запити охоплювали код для переходу зі звичайних WebSocket на захищені WebSocket (wss://), а з HTTP — на HTTPS; вимкнення перевірки сертифікатів у деяких тестах; маскування трафіку за допомогою зовнішнього інтерфейсу CDN / TLS, а також оброблення великих повідомлень без аварійного завершення клієнта.

• Розвідка та керування процесами: запити на інформацію про виявлення антивірусів за допомогою PowerShell, перелік процесів і завершення конкретних процесів Edge / WebView2.

• Налаштування загальнодоступних сканерів: практична допомога зі встановлення й використання інструментів із відкритим кодом, як-от nuclei та fscan, у комерційній інфраструктурі Linux і збереження результатів для подальшого аналізу.

• Фішингові матеріали й звернення: створення переконливих електронних листів кількома мовами для контактів з академічної або промислової сфери, зокрема тем листів і стилю, адаптованих до місцевих норм.

Ці дії належать до таких категорій LLM ATT&CK: створення корисного навантаження, оптимізованого за допомогою LLM; уникнення виявлення аномалій за допомогою LLM; дії після компрометації за допомогою LLM; розвідка й виявлення за допомогою LLM; соціальна інженерія за допомогою LLM.

Ми вимкнули всі облікові записи, пов’язані з цією діяльністю, і передали відповідні індикатори галузевим партнерам. Зловмисники переважно прагнули дещо підвищити ефективність наявних робочих процесів, зокрема створювати готові до надсилання фішингові листи та скорочувати цикли доопрацювання стандартного коду й автоматизації. Ми не виявили доказів того, що результати моделей надали можливості, які виходять за межі добре задокументованих загальнодоступних методів. Наша модель не надала нових можливостей для наступальних операцій. Перевага, якої зловмисники прагнули досягти за допомогою моделей, полягала у мовній вправності, локалізації та наполегливості: імовірно, меншій кількості мовних помилок, швидшому написанні сполучного коду й оперативнішому внесенні змін у разі невдачі.