STORM-0817: вредоносное ПО и операции скрапинга, связанные с Ираном01.10.2024 00:00

Этот анализ был изначально опубликован в отчете OpenAI за октябрь 2024 года⁠.

Мы пресекли деятельность сети учетных записей, управляемых базирующейся в Иране хакерской группировкой, которая, согласно оценке надежного источника, относится к STORM-0817. Мы полагаем, что этот субъект впервые публично уличен в использовании моделей искусственного интеллекта.

Этот субъект использовал наши модели для отладки вредоносного ПО, получения помощи в написании кода базового скрапера для Instagram, а также для перевода профилей LinkedIn на персидский язык. Это включало работу над вредоносными программами, которые всё ещё находились в разработке, и поиск информации о потенциальных целях.

Подобное поведение предоставило нам уникальные сведения об операциях этого злоумышленника, включая информацию об инфраструктуре и возможностях, которые разрабатывались и еще не были полностью задействованы.

STORM-0817 обращался к нашим моделям за поддержкой в отладке и написании кода для реализации вредоносного ПО для Android и соответствующей инфраструктуры управления и контроля (C2). Вредоносное ПО было нацелено на Android и отличалось относительно примитивным характером. Фрагменты кода в предоставленных злоумышленником промптах указывали на наличие стандартных шпионских функций и возможность сбора следующих данных:

• Контакты
• Журналы вызовов
• Установленные пакеты
• Мультимедиа на внешнем накопителе
• Снимки экрана (скриншоты)
• IMEI и модель устройства
• История браузера
• Широта и долгота (геолокация)
• Файлы с внешнего накопителя (PDF, документы Excel)
• Контент, загруженный на внешний накопитель, включая файлы, отправленные через защищенные мессенджеры, такие как WhatsApp и IMO.

STORM-0817 использовал этот код в двух пакетах Android — com.example.myttt и com.mihanwebmaster.ashpazi.

Параллельно STORM-0817 задействовал ChatGPT для поддержки разработки серверного кода, необходимого для обработки подключений с зараженных устройств. Это позволило нам выяснить, что сервером управления и контроля для данного вредоносного ПО является стек WAMP (Windows, Apache, MySQL и PHP/Perl/Python), а на этапе тестирования использовался домен stickhero[.]pro.

Кроме того, STORM-0817 запрашивал помощь в отладке кода для скрапинга профилей Instagram с помощью веб-драйвера Selenium. Этот код на Python принимал имя пользователя в IG и пытался извлечь данные всех его подписчиков. Судя по всему, одним из лиц, на котором злоумышленник тестировал этот инструмент, был иранский журналист, критикующий правительство Ирана.

Этот киберпреступник также использовал наши модели для перевода на персидский язык профилей LinkedIn частных лиц и ученых, работающих в Национальном центре кибербезопасности в Пакистане. Это соглаковалось с частью разведывательных запросов STORM-0817, которые были сфокусированы на Национальной лаборатории киберпреступности и цифровой криминалистики при Университете авиации (Air University) в Пакистане, поддерживающей различные подразделения пакистанских вооруженных сил, включая ВВС, ВМС и полицию.

Ниже приведены некоторые примеры таких взаимодействий и соответствующие им категории тактик, техник и процедур (TTP):

Мы заблокировали все учетные записи, которые, по нашим данным, управлялись группировкой STORM-0817, и передали соответствующие индикаторы компрометации (IOC) нашим партнерам по индустрии. Как и в ходе расследования в отношении SweetSpecter, мы считаем, что наши модели предоставили лишь ограниченные, инкрементальные возможности для вредоносных киберопераций сверх того, что уже доступно с помощью общедоступных инструментов, не использующих ИИ.

Мы выявили следующую серверную структуру, связанную с данной активностью.

Автор