กรณีศึกษานี้ถูกนำเสนอในรายงานของ OpenAI เดือนตุลาคม 2025
พฤติกรรม
ผู้โจมตีใช้โมเดลของเราในการสร้างโค้ดสำหรับรูปแบบการทำให้โค้ดคลุมเครือ (obfuscation) เช่น การแทรกคำสั่งเติม (padding instructions) และลำดับขยะ รวมถึงการเฝ้าดูคลิปบอร์ด และสคริปต์ช่วยในการส่งข้อมูล เช่น การอัปโหลดไปยัง Telegram bot และสคริปต์จัดเก็บและส่งข้อมูล
คำสั่งที่ผู้โจมตีป้อนมีความหลากหลาย ตั้งแต่การต้องใช้ความรู้เชิงลึกเกี่ยวกับแพลตฟอร์ม Windows และการดีบักแบบวนซ้ำ ไปจนถึงการทำงานอัตโนมัติในงานทั่วไป เช่น การสร้างรหัสผ่านจำนวนมากและการสมัครงานแบบสคริปต์
การทำให้สมบูรณ์
พวกเขาใช้ ChatGPT ในการสร้างและปรับปรุงโค้ดที่ใช้งานได้ รวมถึงคำแนะนำในการติดตั้งสำหรับการรันในหน่วยความจำ (in-memory execution) และตัวโหลด shellcode รวมถึงการหลบเลี่ยง UAC / SmartScreen / Mark-of-the-Web, การดึงข้อมูลรับรอง/คุกกี้เบราว์เซอร์ และการสร้างโครงสร้างสำหรับการถอดรหัส รวมถึงการวิเคราะห์ LevelDB wallet และเครื่องมือสำหรับจัดการคลิปบอร์ดพร้อมการส่งข้อมูลออก
กิจกรรมเหล่านี้สามารถเทียบเคียงกับกรอบการทำงาน LLM ATT&CK ได้ดังนี้: การแปลงไฟล์ EXE เป็น shellcode ที่เป็นอิสระจากตำแหน่ง, การสร้าง in-memory loaders (VirtualAlloc / WriteProcessMemory / remote thread), และการแปลงภาษาสำหรับเครื่องมือโหลด นอกจากนี้ยังรวมถึงการสร้างสคริปต์เพื่อดึง/ถอดรหัสข้อมูลรับรองเบราว์เซอร์, การวิเคราะห์ LevelDB wallet, การเฝ้าดู/แทนที่คลิปบอร์ด และการส่งข้อมูลผ่านช่องทางบอทอย่าง Telegram รวมถึงการสร้างและปรับปรุงโครงสร้าง C2 และอุโมงค์ต่างๆ เช่น reverse proxies, การตั้งค่า SOCKS5 / OpenVPN, และการจำลองการป้อนข้อมูลสำหรับระยะไกล
ศัพท์ที่ควรรู้
- obfuscation – คือกระบวนการทำให้โค้ดอ่านยากและเข้าใจยาก ทำให้ยากต่อการวิเคราะห์
- in-memory execution – คือการรันโค้ดในหน่วยความจำของระบบโดยไม่ต้องเขียนลงดิสก์ ทำให้ตรวจจับได้ยาก
- shellcode – คือชุดคำสั่งขนาดเล็กที่ถูกออกแบบมาเพื่อทำงานเฉพาะอย่าง เช่น การโจมตีหรือการควบคุมระบบ
- UAC / SmartScreen / Mark-of-the-Web – คือกลไกด้านความปลอดภัยของ Windows ที่ป้องกันการรันโปรแกรมที่ไม่ได้รับอนุญาต
- RAT – คือ Remote Access Trojan เป็นมัลแวร์ที่ช่วยให้ผู้โจมตีสามารถควบคุมเครื่องเหยื่อจากระยะไกลได้
ที่มา: OpenAI