✔В OpenAI рассказали, как злоумышленники используют ChatGPT - «Новости»

Компания OpenAI рассказала, что пресекла более 20 иностранных «операций влияния», в рамках которых ChatGPT использовался для отладки и разработки вредоносного ПО, распространения дезинформации, уклонения от обнаружения и проведения фишинговых атак. Напомним, что ранее ИБ-специалисты уже предупреждали о том, что хакеры активно применяют ИИ для разработки малвари. К примеру, весной текущего года исследователи из компании и Proofpoint писали, что злоумышленники используют для распространения инфостилера Rhadamanthys написанный ИИ PowerShell-скрипт. А в прошлом месяце аналитики HP Wolf обнаружили, что для распространения малвари AsyncRAT тоже используется вредоносный код, явно созданный при помощи ИИ. В своем отчете представители OpenAI подтвердили факт злоупотребления возможностями ChatGPT и описали конкретные случаи, когда китайские и иранские хакеры злоупотребляли чат-ботом для повышения эффективности своих операций. Одной из группировок, о которой рассказали в OpenAI, стала китайская SweetSpecter, впервые обнаруженная аналитиками Cisco Talos в ноябре 2023 года. Тогда эксперты писали, что эта группировка занимается кибершпионажем и в основном нацелена на правительства азиатских стран. OpenAI сообщает, что SweetSpecter атакует свои цели, рассылая фишинговые письма с вредоносными ZIP-архивами, замаскированными под запросы в службу поддержки. После открытия такого вложения запускается цепочка заражения, в результате чего в систему жертвы проникает SugarGh0st RAT. Фишинговое письмо SweetSpecter Причем эти атаки затронули и личные email-адреса сотрудников OpenAI. В ходе расследования в компании обнаружили, что SweetSpecter использует целый кластер аккаунтов ChatGPT, которые используются для скриптинга и анализа уязвимостей. Участники SweetSpecter обращались к чат-боту со следующими запросами: вопросы об уязвимостях в различных приложениях; поиск определенные версий Log4j, уязвимых для критической RCE-проблемы Log4Shell; просили список популярных CMS, используемых за рубежом; запрашивали информацию по конкретным идентификаторам CVE; спрашивали, как создаются сканеры, работающие по всему интернету; узнавали, как использовать sqlmap для загрузки потенциального веб-шелла на целевой сервер; просили помощи в эксплуатации инфраструктуры, принадлежащей неназванному производителю автомобилей; предоставили код и попросили помочь с использованием служб связи для программной рассылки текстовых сообщений; попросили помощи в отладке расширения для неназванного защитного инструмента; попросили помощи в отладке кода, являющегося частью более крупного фреймворка для отправки текстовых сообщений на указанные номера; спрашивали о темах, которые могут быть интересны сотрудникам государственных учреждений, и о том, какие названия подойдут для почтовых вложений, чтобы избежать блокировки; запрашивали варианты фейковых сообщений о приеме на работу, показывая свои варианты. Второй случай, описанный в отчете компании , связан с иранской хак-группой CyberAv3ngers, которая обычно атакует промышленные системы КИИ в западных странах. По данным OpenAI, аккаунты, связанные с этой группой, попросили ChatGPT предоставить учетные данные, используемые по умолчанию в широко распространенных программируемых логических контроллерах (ПЛК), разработать кастомные bash- и Python-скрипты, а также обфусцировать код. Кроме того, иранские хакеры использовали ChatGPT для планирования пост-эксплуатации, изучения способов взлома конкретных уязвимостей и выбора методов кражи пользовательских паролей из macOS. Так, участники CyberAv3ngers обращались к чат-боту со следующими запросами: запрашивали список широко используемых промышленных маршрутизаторов в Иордании; запрашивали список промышленных протоколов и портов, через которые можно подключиться к интернету; спрашивали пароль по умолчанию для устройства Tridium Niagara; запрашивали имя пользователя и пароль по умолчанию для промышленного маршрутизатора Hirschmann серии RS; спрашивали о недавно раскрытых уязвимостях в CrushFTP и Cisco Integrated Management Controller, а также старых уязвимостях в Asterisk Voice over IP; просили составить списки электроэнергетических компаний, подрядчиков и популярных ПЛК в Иордании; спрашивали, почему конкретный фрагмент bash-кода возвращает ошибку; просили создать клиента Modbus TCP/IP; просили просканировать сеть на наличие уязвимостей, которые можно использовать; просили просканировать файлы ZIP на наличие уязвимостей; запрашивали пример кода на C для реализации техники process hollowing;. интересовались, как обфусцировать запись VBA-скриптов в Excel; спрашивали совета по модели обфускации кода (предоставив сам код); спрашивали, как скопировать файл SAM; искали альтернативу mimikatz; спрашивали, как использовать pwdump для экспорта паролей; спрашивали, как получить доступ к паролям пользователей в macOS. Третий описанный случай касается другой иранской группировки Storm-0817. Эта группа использовала ChatGPT для отладки малвари, создания скрапера для Instagram*, перевода профилей LinkedIn на персидский язык и разработки собственного вредоносного ПО для Android, а также связанной с ним управляющей инфраструктуры. Участники Storm-0817 обращались к чат-боту со следующими вопросами: просили помощи в отладке и имплементации скрапера для Instagram*; переводили на персидский язык профили пакистанских специалистов по кибербезопасности из LinkedIn; запрашивали помощь в отладке и разработке Android-малвари и соответствующей инфраструктуры для ее поддержки. В итоге эта малварь, созданная с помощью чат-бота OpenAI, получила возможность похищать списки контактов, журналы звонков и файлы, хранящиеся на устройстве, делать скриншоты, изучать историю просмотров пользователя и определять его точное местоположение. «Параллельно Storm-0817 использовали ChatGPT для разработки серверного кода, необходимого для обработки соединений со взломанных устройств, — гласит отчет Open AI. — Это позволило нам увидеть, что управляющий сервер для этой вредоносной программы представлял собой установку WAMP (Windows, Apache, MySQL