OpenAI, STORM-0817 이란 연계 악성코드 활동 차단
OpenAI는 이란 기반 위협 행위자 STORM-0817이 운영하는 계정 네트워크를 차단했습니다. 이는 해당 행위자가 AI 모델을 악의적인 작업을 지원하는 데 사용한 것으로 공개적으로 확인된 최초 사례입니다.
Android 악성코드 개발 및 C2 인프라
STORM-0817은 OpenAI 모델을 사용해 Android 악성코드와 해당 명령·제어(C2) 인프라를 디버깅하고 구현했습니다. 비교적 기본적인 이 악성코드는 다음과 같은 표준 감시 기능을 갖추고 있어 감염된 장치에서 데이터를 수집하도록 설계되었습니다:
- 연락처 및 통화 기록
- 설치된 패키지
- 외부 저장소의 미디어 및 파일(PDF 및 Excel 문서 포함)
- 스크린샷
- 디바이스 IMEI 및 모델
- 브라우징 기록
- 위도 및 경도
- 외부 저장소에 다운로드된 콘텐츠, WhatsApp 및 IMO와 같은 보안 메신저 앱의 파일 포함
이 코드는 두 개의 Android 패키지에 구현되었습니다: com.example.myttt 및 com.mihanwebmaster.ashpazi.
이러한 감염된 장치를 관리하기 위해 행위자는 ChatGPT를 활용해 WAMP(Windows, Apache, MySQL & PHP/Perl/Python) 환경 기반의 C2 서버용 서버 측 코드를 개발했습니다. 테스트 중 이 인프라는 stickhero[.]pro 도메인을 사용했습니다.
정찰 및 스크래핑 작업
STORM-0817은 특정 표적에 대한 정찰 및 데이터 수집을 위해 AI 모델을 활용했습니다:
- Instagram Scraping: 행위자는 Selenium 웹드라이버를 이용해 Instagram 프로필을 스크랩하는 Python 코드에 대한 디버깅 도움을 요청했습니다. 이 도구는 지정된 사용자 이름의 모든 팔로워로부터 상세 정보를 추출하도록 설계되었습니다. 테스트는 이란 정부에 비판적인 이란 언론인에게서 관찰되었습니다.
- Targeted Reconnaissance: 행위자는 모델을 사용해 파키스탄 사이버 보안 전문가들의 LinkedIn 프로필을 페르시아어로 번역했습니다. 이 활동은 파키스탄 공군, 해군, 경찰을 지원하는 파키스탄 공군대학의 국가 사이버범죄·포렌식 연구소에 초점을 맞춘 정찰 프롬프트와 일치했습니다.
LLM ATT&CK 프레임워크에 대한 기술 매핑
OpenAI는 행위자의 모델 활용을 LLM ATT&CK 프레임워크에 따라 분류했습니다:
| Activity | LLM ATT&CK Framework Category |
|---|---|
| Instagram 스크래퍼 디버깅 및 구현 | LLM 강화 스크립팅 기법 |
| 파키스탄 사이버 보안 전문가들의 LinkedIn 프로필 번역 | LLM 기반 정찰 |
| Android 악성코드 및 C2 인프라 디버깅 및 개발 지원 | LLM 지원 개발 |
영향 및 침해 지표 (IOCs)
OpenAI는 STORM-0817과 연관된 모든 식별된 계정을 비활성화했으며, 관련 침해 지표(Indicators of Compromise, IOCs)를 산업 파트너와 공유했습니다.
능력 전환에 관해 OpenAI는 모델이 이러한 악의적 작업에 대해 제한적이고 점진적인 기능만을 제공했으며, 목표는 공개적으로 이용 가능한 비AI 도구로도 달성 가능했다고 언급했습니다.
서버 측 지표
| Tactic | Technique | Procedure | Indicator |
|---|---|---|---|
| 0. 자산 획득 | 0.6 도메인 획득 | 0.6.1 악성코드 캠페인을 호스팅하기 위한 도메인 획득 | stickhero[.]pro |
| 3. 조정 및 계획 | 3.4 C2 인프라 운영 | 3.4.1 C2를 위한 도메인/서브도메인 사용 | /datas/stickher/public_html/contact.php |
| 3. 조정 및 계획 | 3.4 C2 인프라 운영 | 3.4.1 C2를 위한 도메인/서브도메인 사용 | /datas/stickher/public_html/app.php |
| 3. 조정 및 계획 | 3.4 C2 인프라 운영 | 3.4.1 C2를 위한 도메인/서브도메인 사용 | /datas/stickher/public_html/androidID.php |
| 3. 조정 및 계획 | 3.4 C2 인프라 운영 | 3.4.1 C2를 위한 도메인/서브도메인 사용 | /datas/stickher/public_html/api/index.php |
| 3. 조정 및 계획 | 3.4 C2 인프라 운영 | 3.4.1 C2를 위한 도메인/서브도메인 사용 | /datas/stickher/public_html//CallLogData.php |
| 3. 조정 및 계획 | 3.4 C2 인프라 운영 | 3.4.1 C2를 위한 도메인/서브도메인 사용 | /datas/stickher/public_html//pdf.php |