Кибератака: поддержка фишинга и написания сценариев01.10.2025 00:00

Этот тематический анализ был изначально опубликован в отчете OpenAI за октябрь 2025 г.⁠

Мы выявили и заблокировали кластер учетных записей ChatGPT, вовлеченных в активность, которая пересекается с публичными данными о группировках, отслеживаемых в индустрии как UNK_DROPPITCH (Proofpoint) и UTA0388 (Volexity); по крайней мере в одном случае адрес электронной почты, использовавшийся для регистрации аккаунта ChatGPT, также применялся для рассылки фишинговых сообщений.

Злоумышленники, управлявшие этими учетными записями, демонстрировали признаки, характерные для киберопераций в интересах разведки КНР: использование китайского языка и атаки на полупроводниковую отрасль Тайваня, американские академические круги и аналитические центры, а также организации, связанные с этническими и политическими группами, критикующими КПК (иногда описываемые как «пять ядов»).

Наша модель не предоставила им принципиально новых наступательных возможностей. Судя по всему, операторы в основном использовали наши модели для повышения эффективности существующих рабочих процессов, в особенности при создании фишингового контента, а также при отладке или модификации своих инструментов.

Злоумышленники использовали ChatGPT для решения двух основных задач: генерации контента для фишинговых кампаний на нескольких языках (включая китайский — как упрощенный, так и традиционный, а также английский и японский) и помощи в разработке инструментов и вредоносного ПО. Характер их разработок соответствовал технически грамотному, но неизощренному актеру; например, они обсуждали различные аспекты и нюансы использования AES для защиты трафика C2, но при этом продолжали применять простой статический ключ.

Методика создания фишингового контента у злоумышленников была детальной и шаблонной, что характерно для атак на четко определенную аудиторию. Обычно они генерировали краткое, формально вежливое письмо от имени ученого, представителя индустрии или участника конференции. Хакеры часто просили скорректировать тон, заменить термины на региональные аналоги или добавить конкретные институциональные отсылки. Хотя эти целенаправленные микроправки свидетельствуют о стремлении повысить качество исходного контента, злоумышленники упускали из виду некоторые выдающие их детали, например, неправдоподобные примеры контактных данных в блоках подписи.

Они запрашивали фрагменты кода и контрольные списки для ускорения рутинных задач. Они просили написать код для проверки зашифрованных каналов передачи данных (HTTPS, TLS) для простого опроса в стиле маячка; набросать фрагменты на Go и PowerShell для перечисления процессов, завершения процессов по имени исполняемого файла или сбора информации об окружении;, а также интегрировать готовые сканеры в обертки для bash / PowerShell.

Они также просили модель предложить простые средства обфускации и меры операционной безопасности (OPSEC): переименование функций, настройку заголовков или сокрытие строк. В ходе многочисленных сессий они продвигались в сторону создания базовых прототипов управления и контроля (C2), соответствующих вредоносному ПО низкой и средней степени зрелости, включая циклы поддержания активности (keep-alive), минимальное выполнение задач по протоколу HTTP (S) и конверты задач/результатов на основе JSON.

Детали реализации в некоторых разработках злоумышленника на языке Go совпадают с данными отраслевых отчетов о вредоносном ПО, отслеживаемом как GOVERSHELL (Volexity) или HealthKick (Proofpoint), что указывает на использование ими моделей для поддержки своей основной разработки вредоносного ПО.

Параллельно с работой над легендами и разработкой инструментов операторы изучали возможности дальнейшей автоматизации с помощью DeepSeek. Эта деятельность напоминала исследовательскую работу по автоматизации массового фишинга, например, анализ веб-контента для автоматического формирования списка целей рассылки вместе с созданием контента, который потенциально интересен каждой выявленной потенциальной жертве. Мы не можем независимым образом подтвердить, продолжили ли злоумышленники такую автоматизацию и какую модель они в итоге могли использовать, если это произошло.

Злоумышленники пытались использовать наши модели для планирования и доработки зашифрованных компонентов C2, рабочих процессов удаленного выполнения команд и рассылки писем с учетом культурного контекста, уделяя основное внимание скорости и локализации, а не новым наступательным возможностям. Они генерировали ответы модели, которые, судя по всему, предназначались для поддержки активности вне нашей платформы в нескольких операционных областях:

• Зашифрованные C2 и удаленное выполнение: запросы на написание или исправление клиент-серверного кода на Go с шифрованием сообщений (например, AES-GCM), пересозданием ключей сеанса, маячками с системной информацией и серверной консолью для отправки команд PowerShell по стандартным веб-протоколам или через WebSocket-канал.
• Защита трафика и настройки OPSEC: запросы включали код для перехода от незащищенных WebSockets к безопасным WebSockets (wss://), а также от HTTP к HTTPS; отключение проверки сертификатов в некоторых тестах; маскирование трафика через CDN / фронтенд TLS, а также корректную обработку больших сообщений без сбоев на стороне клиента.
• Разведка и управление процессами: запросы информации, связанной с обнаружением антивирусов через PowerShell, перечислением процессов и завершением конкретных процессов Edge / WebView2.
• Настройка стандартных сканеров: справочная помощь по установке и использованию открытых инструментов, таких как nuclei и fscan, в коммерческой инфраструктуре Linux с сохранением результатов для последующего анализа.
• Фишинг и контент для рассылок: подготовка убедительных писем на разных языках для академических или отраслевых контактов, включая темы сообщений и стиль, адаптированные под местные нормы.

Эта активность соответствует следующим категориям LLM ATT&CK: LLM-Optimized Payload Crafting (Создание полезной нагрузки с помощью LLM), LLM-Enhanced Anomaly-Detection Evasion (Обход систем обнаружения аномалий с помощью LLM), LLM-Assisted Post-Compromise Activity (Действия после взлома с помощью LLM), LLM-Assisted Reconnaissance and Discovery (Разведка и обнаружение с помощью LLM) и LLM-Assisted Social Engineering (Социальная инженерия с помощью LLM).

Мы отключили все учетные записи, связанные с этой активностью, и поделились соответствующими индикаторами с отраслевыми партнерами. Злоумышленники в основном стремились повысить эффективность существующих рабочих процессов, включая создание готовых к отправке фишинговых писем и сокращение циклов итерации для рутинного кода и автоматизации. Мы не обнаружили никаких свидетельств того, что результаты работы моделей обеспечили возможности, выходящие за рамки хорошо задокументированных публичных методов; наша модель не привнесла новых наступательных возможностей. Преимущество в методах (tradecraft), которое искали за счет помощи моделей, заключалось в языковой беглости, локализации и настойчивости: вероятно, меньшем количестве языковых ошибок, более быстром написании связующего кода и более оперативной корректировке при возникновении сбоев.

Автор