آپریشن “ScopeCreep”: روسی زبان بولنے والے فریق کی ضرر رساں سافٹ ویئر سازی

یہ کیس اسٹڈی اصل میں OpenAI کی جون 2025⁠(نئی ونڈو میں کھلتا ہے) کی رپورٹ میں شائع ہوئی تھی.

ہم نے ChatGPT اکاؤنٹس کے ایک گروپ پر پابندی لگا دی، جسے بظاہر روسی زبان بولنے والا خطرہ پیدا کرنے والا فریق چلا رہا تھا. اس فریق نے ونڈوز کے لیے ضرر رساں سافٹ ویئر تیار اور بہتر بنانے، متعدد زبانوں میں کوڈ کی خامیاں دور کرنے اور اپنا کمانڈ اینڈ کنٹرول بنیادی ڈھانچہ قائم کرنے میں مدد کے لیے ہمارے ماڈلز استعمال کیے.

اس فریق نے ونڈوز کے اندرونی نظام کا علم ظاہر کیا اور عملیاتی تحفظ سے متعلق بعض طرزِ عمل بھی اپنائے. کارروائی میں ٹروجن زدہ ”نشانہ نما“ گیمنگ ٹول کے استعمال اور اس کے خفیہ حربوں کے پیش نظر ہم نے اسے “ScopeCreep” کا نام دیا ہے.

اس خطرہ پیدا کرنے والے فریق نے عملیاتی تحفظ کے لیے ایک قابلِ ذکر طریقہ اپنایا. اس نے ChatGPT اکاؤنٹس بنانے کے لیے عارضی ای میل پتے استعمال کیے اور ہر ChatGPT اکاؤنٹ کو صرف ایک گفتگو تک محدود رکھا، جس میں اپنے کوڈ میں ایک معمولی بہتری کرنے پر بات کی جاتی تھی. اس کے بعد وہ اصل اکاؤنٹ چھوڑ کر نیا اکاؤنٹ بنا لیتا تھا.

اس فریق نے ScopeCreep ضرر رساں سافٹ ویئر ایک عوامی کوڈ ریپوزٹری کے ذریعے پھیلایا، جو ویڈیو گیمز کے ایک جائز اور مقبول نشانہ نما اوورلے ٹول (Crosshair-X) کی نقل تھی. بے خبر صارفین جب اس نقصان دہ نسخے کو ڈاؤن لوڈ کر کے چلاتے تو ان کے نظام پر ضرر رساں سافٹ ویئر کا لوڈر فعال ہو جاتا، جس کے نتیجے میں حملہ آور کے بنیادی ڈھانچے سے مزید نقصان دہ فائلیں ڈاؤن لوڈ ہو کر چلنے لگتیں.

اس کے بعد ضرر رساں سافٹ ویئر اختیارات بڑھانے، خفیہ طور پر مستقل موجودگی قائم کرنے، خطرہ پیدا کرنے والے فریق کو اطلاع دینے اور شناخت سے بچتے ہوئے حساس ڈیٹا باہر منتقل کرنے کے لیے متعدد مراحل پر مشتمل عمل شروع کرتا تھا.

خطرہ پیدا کرنے والے فریق نے ضرر رساں سافٹ ویئر کو مرحلہ وار تیار کرنے میں مدد کے لیے ہمارا ماڈل استعمال کیا اور ChatGPT سے مسلسل مزید مخصوص خصوصیات نافذ کرنے کی درخواست کی. ScopeCreep میں ترسیل، نفاذ، شناخت سے بچاؤ اور ڈیٹا کی خفیہ منتقلی سے متعلق متعدد تکنیکیں سامنے آئیں، جن میں یہ شامل ہیں:

• دستخط پر مبنی شناخت سے بچنے کے لیے بنائے گئے C2 پے لوڈز.

• DLL سائیڈ لوڈنگ کے ذریعے خفیہ نفاذ.

• Themida کے ساتھ حسبِ ضرورت پیکنگ کے ذریعے اخفا.

• اختیارات میں اضافہ اور شناخت سے بچاؤ.

• پورٹ 80 پر HTTPS.

• اسناد اور سیشن کی چوری.

• Telegram کے ذریعے حملہ آور کو اطلاعات.

• پراکسی پر مبنی ٹریفک کا اخفا.

خطرہ پیدا کرنے والے فریق کی عملیاتی تحفظ کی کوششوں اور ضرر رساں سافٹ ویئر میں شناخت سے بچاؤ کے طریقوں کے باوجود، ہم سائبر غلط استعمال کی وسیع پیمانے پر شناخت کے اپنے عمل کی بدولت اس سرگرمی کا سراغ لگانے میں کامیاب رہے. ہم نے کوڈ ہوسٹنگ فراہم کنندہ کے ساتھ مل کر نقصان دہ ریپوزٹری ہٹوائی اور اس سرگرمی سے وابستہ تمام ChatGPT اکاؤنٹس پر پابندی لگا دی.

اس گروپ کی ماڈل کے ساتھ گفتگو میں ترقیاتی کاموں کی ایک وسیع رینج شامل تھی. ایک گفتگو میں Go کوڈ کا ایک حصہ شامل تھا جس میں خطرہ پیدا کرنے والے فریق کو HTTPS درخواست کے سلسلے میں دشواری پیش آ رہی تھی، لہٰذا اس نے ماڈل سے خامی دور کرنے کو کہا. ایک الگ موقع پر خطرہ پیدا کرنے والے فریق نے Go کے ذریعے PowerShell کمانڈز استعمال کر کے Windows Defender کی ترتیبات تبدیل کرنے میں مدد مانگی اور AV استثنا کو پروگرام کے ذریعے شامل کرنے کا طریقہ تلاش کیا.

ان سرگرمیوں کی نمائندہ مثالوں کو LLM ATT&CK فریم ورک سے یوں مربوط کیا جا سکتا ہے:

• python310.dll فائل مرتب کرنے کے لیے LLM کا استعمال، تاکہ جب بھی python.exe چلے تو ان کا کوڈ بھی چل جائے: LLM کی مدد سے تیاری.

• پورٹ 80 پر HTTPS ٹریفک فراہم کرنے کے لیے بنائے گئے SSL/TLS سرٹیفکیٹس کی خرابیوں کو دور کرنا: LLM کی مدد سے تیاری.

• Flask پر مبنی C2 سرور کو ماڈل کی مدد سے عملی استعمال کے لیے تیار WSGI سرور پر منتقل کرنا: LLM کی مدد سے تیاری.

• Windows Defender کی ترتیبات تبدیل کرنے اور AV استثنا شامل کرنے کے لیے Go میں PowerShell کمانڈز تیار کرنا: LLM سے بہتر بنایا گیا غیر معمولی سرگرمی کی شناخت سے بچاؤ.

• نئے متاثرہ شخص کے نظام سے سمجھوتا ہونے پر حملہ آور کے زیرِ اختیار Telegram چینل کو اطلاع دینے والے کوڈ کی خامیاں دور کرنا: سمجھوتے کے بعد LLM کی مدد سے سرگرمی.

اس مرحلے پر فوری اطلاع اور صنعتی شراکت داروں کے قریبی تعاون سے ScopeCreep کے اثرات ممکنہ طور پر محدود ہو گئے، کیونکہ وہ نقصان دہ ریپوزٹری ہٹانے میں کامیاب رہے. ہم نے اس مخالف فریق کے زیرِ استعمال OpenAI اکاؤنٹس پر پابندی لگا دی.

ہمارا اندازہ ہے کہ اس خطرہ پیدا کرنے والے فریق نے ضرر رساں سافٹ ویئر کی تیاری تیز کرنے کی کوشش میں ہمارے ماڈلز استعمال کیے. ستم ظریفی یہ ہے کہ اس سے ہمیں خطرے کو تیزی سے، اور بظاہر اس کے ابتدائی مرحلے ہی میں، شناخت کر کے روکنے کا موقع بھی ملا.

اگرچہ اس ضرر رساں سافٹ ویئر کی صلاحیتوں میں اختیارات بڑھانا، مستقل موجودگی قائم کرنا، اسناد حاصل کرنا اور دور سے رسائی شامل ہیں، لیکن یہ خاص طور پر نئی نہیں ہیں. اگرچہ یہ ضرر رساں سافٹ ویئر ممکنہ طور پر عملی طور پر فعال تھا اور اس کے کچھ نمونے VirusTotal پر بھی نظر آئے، لیکن ہمیں اس میں وسیع دلچسپی یا اس کی بڑے پیمانے پر تقسیم کے شواہد نہیں ملے.