OpenAI 작전 ScopeCreep: 러시아어 사용 악성코드 개발 방해

OpenAI 작전 ScopeCreep: 러시아어 사용 악성코드 개발 방해

악성코드 배포 및 실행

ScopeCreep는 공개 코드 저장소를 통해 "Crosshair-X"라는 인기 게임 도구를 가장하여 악성코드를 배포했습니다. 악성 버전을 다운로드한 사용자는 로더를 실행하게 되며, 이 로더는 공격자의 인프라에서 추가 악성 파일을 다운로드하고 실행합니다.

Once executed, the malware followed a multi-stage process designed to achieve the following:

  • Privilege Escalation: 시스템 권한을 상승시켜 더 깊은 접근을 얻음.
  • Persistence: 시스템에 남아있기 위한 은밀한 메커니즘을 구축.
  • Exfiltration: 민감한 데이터를 탈취하고 Telegram을 통해 공격자에게 알림.
  • Evasion: 다양한 기술적 수단으로 탐지를 회피.

기술 역량 및 회피 기법

While OpenAI notes that the capabilities of ScopeCreep are not particularly novel, the malware employed a range of sophisticated evasion and execution techniques:

  • DLL Side-loading: 은밀한 실행을 위해 사용됨.
  • Custom Packing: Themida를 이용한 난독화.
  • C2 Payloads: 서명 기반 탐지를 피하도록 설계됨.
  • Network Obfuscation: 포트 80에서 HTTPS 사용 및 프록시 기반 트래픽 난독화.
  • Credential Theft: 세션 및 자격 증명 데이터를 목표로 함.

LLM 지원 개발 패턴

The threat actor utilized ChatGPT iteratively, requesting specific feature implementations and debugging assistance. To maintain operational security, the actor used temporary email addresses to create new accounts for every single incremental improvement to the code, abandoning accounts after a single conversation.

OpenAI mapped these activities to the LLM ATT&CK framework, identifying five key areas of model-assisted development:

  • LLM Aided Development: python310.dll를 컴파일하여 python.exe가 실행될 때마다 코드가 실행되도록 보장하고, 포트 80의 HTTPS 트래픽을 위한 SSL/TLS 인증서 문제를 해결하며, Flask 기반 C2 서버를 프로덕션 준비된 WSGI 서버로 마이그레이션함.
  • LLM-Enhanced Anomaly Detection Evasion: Go 안에서 PowerShell 명령을 개발하여 Windows Defender 설정에 안티바이러스(AV) 제외 항목을 프로그래밍 방식으로 추가함. -- LLM-Assisted Post-Compromise Activity: 새로운 피해자가 침해될 때 공격자 제어 텔레그램 채널에 알리기 위해 사용되는 코드를 디버깅함.

탐지 및 완화

OpenAI는 확장된 사이버 남용 탐지 프로세스를 통해 해당 활동을 감지했습니다. 위협은 코드 호스팅 제공업체와 협력하여 악성 저장소를 삭제하고 관련된 모든 ChatGPT 계정을 차단함으로써 완화되었습니다.

While samples of the malware appeared on VirusTotal, OpenAI reports no evidence of widespread distribution or interest. The actor's attempt to use LLMs to speed up development provided a paradoxical opportunity for OpenAI to identify and disrupt the the operation in its early stages.

Sources