SweetSpecter: кибердеятельность, связанная с Китаем
OpenAI заблокировала учетные записи, предположительно принадлежавшие базирующейся в Китае хакерской группе SweetSpecter, которая использовала ИИ для поиска уязвимостей, написания кода и проведения целенаправленных фишинговых атак.
Этот анализ был впервые опубликован в отчете OpenAI за октябрь 2024 года.
Субъект угрозы
Мы выявили и заблокировали учетные записи, которые, согласно оценке надежного источника, предположительно принадлежали связанной с Китаем группировке. Они пытались использовать наши модели для поддержки своих наступательных киберопераций и одновременно проводили целевые фишинговые атаки против наших сотрудников и правительств по всему миру. Эта группировка, известная под кодовым именем SweetSpecter, появилась в 2023 году. Насколько нам известно, это первый случай, когда их целями публично была признана базирующаяся в США компания, занимающаяся разработками в сфере ИИ, тогда как их прежняя активность, согласно отчетам, была сосредоточена на политических структурах на Ближнем Востоке, в Африке и Азии.
Характер поведения
В мае 2024 года мы получили информацию от надежного источника о том, что его служба безопасности зафиксировала отправку SweetSpecter фишинговых писем с вредоносными вложениями на корпоративные и личные почтовые ящики некоторых наших сотрудников.
Отредактированная версия письма, отправленного SweetSpecter небольшой группе наших сотрудников. Эти письма были заблокированы нашими системами безопасности. Изображение предоставлено компанией Proofpoint.
В этих письмах SweetSpecter выдавали себя за пользователей ChatGPT, обращающихся за поддержкой к целевым сотрудникам. Письма содержали вредоносное вложение «some problems.zip», в котором находился файл LNK. Этот файл содержал код, который при открытии отображал для пользователя документ DOCX с перечислением различных мнимых ошибок и сервисных сообщений от ChatGPT. Однако в фоновом режиме происходило расшифровывание и запуск вируса-трояна SugarGh0st RAT для Windows. Данное вредоносное ПО разработано таким образом, чтобы предоставить SweetSpecter контроль над зараженным компьютером и позволить им выполнять произвольные команды, делать снимки экрана и похищать данные.
Служба безопасности OpenAI связалась с сотрудниками, которые, как предполагалось, стали объектами этой фишинговой кампании, и выяснила, что существующие средства защиты предотвратили попадание писем в их корпоративные почтовые ящики.
Приманка из одного проанализированного вредоносного файла LNK, которая отображалась при запуске.
В ходе этого процесса сотрудничество с партнерами по отрасли сыграло ключевую роль в выявлении таких неудачных попыток скомпрометировать учетные записи сотрудников. Это подчеркивает важность обмена данными об угрозах и совместной работы для опережения изощренных злоумышленников в эпоху искусственного интеллекта. Используя общие аналитические данные и коллективный опыт, мы можем лучше защищать наши ресурсы и блокировать учетные записи на платформе, связанные с подобной деятельностью.
Запросы и генерация
Анализируя более широкую инфраструктуру, поддерживающую эту кампанию, мы обнаружили и заблокировали кластер учетных записей ChatGPT, которые использовали ту же инфраструктуру для ответов на вопросы, написания скриптов и задач по исследованию уязвимостей. Мы сопоставили эти взаимодействия с тактиками, техниками и процедурами (TTP) на базе языковых моделей (LLM), которые Microsoft предложила интегрировать в структуру MITRE ATT&CK® в начале этого года. Структура MITRE отражает реальные тактики и техники, используемые киберпреступниками, и, публикуя эти соответствия, мы стремимся информировать более широкое кибербезопасное сообщество о наблюдаемых TTP и помочь повысить эффективность киберобороны.
Ниже приведены некоторые примеры действий SweetSpecter, соответствующих этим TTP:
Действие | Категория платформы LLM ATT&CK |
|---|---|
Запросы об уязвимостях в различных приложениях | Разведка на основе LLM |
Запросы о поиске конкретных версий Log4j, уязвимых к критической уязвимости удаленного выполнения кода (RCE) Log4Shell | Разведка на основе LLM |
Запросы о популярных системах управления контентом, используемых за рубежом | Разведка на основе LLM |
Запросы информации по конкретным номерам CVE | Разведка на основе LLM |
Запросы о принципах создания интернет-сканеров | Разведка на основе LLM |
Запросы об использовании sqlmap для загрузки потенциального веб-шелла на целевой сервер | Исследование уязвимостей с помощью LLM |
Запросы о поиске способов эксплуатации инфраструктуры крупного автопроизводителя | Исследование уязвимостей с помощью LLM |
Предоставление кода и запросы дополнительной помощи по использованию коммуникационных сервисов для программной отправки текстовых сообщений | Улучшенные с помощью LLM методы написания скриптов |
Запросы помощи в отладке разработки расширения для инструмента кибербезопасности | Улучшенные с помощью LLM методы написания скриптов |
Запросы помощи в отладке кода, являющегося частью более крупного фреймворка для программной отправки текстовых сообщений на указанные злоумышленником номера | Разработка при поддержке LLM |
Запросы о темах, интересных сотрудникам правительственных ведомств, и удачных названиях вложений для обхода блокировок | Социальная инженерия при поддержке LLM |
Запросы вариантов предоставленного злоумышленником сообщения о вакансии | Социальная инженерия при поддержке LLM |
В ходе этого расследования наши команды безопасности использовали ChatGPT для анализа, категоризации, перевода и обобщения взаимодействий с учетных записей злоумышленников. Это позволило нам быстро извлекать полезную информацию из больших наборов данных при минимальных затратах ресурсов. По мере совершенствования наших моделей мы рассчитываем также использовать ChatGPT для реверс-инжиниринга и анализа вредоносных вложений, отправляемых сотрудникам.
Влияние
В соответствии с тем, что мы наблюдали в нашем первом отчете об угрозах, использование наших моделей злоумышленниками не дало им новых возможностей или направлений, которые они не могли бы получить из множества общедоступных источников. Наши механизмы безопасности заблокировали вредоносные письма еще до того, как они достигли почтовых ящиков сотрудников.
Автор
Полный текст статьи читайте на OpenAI
