พฤติกรรม
ผู้โจมตีใช้ที่อยู่อีเมลชั่วคราวในการสมัคร ChatGPT โดยจำกัดการใช้งานแต่ละบัญชีไว้ที่การปรับปรุงโค้ดทีละน้อย พวกเขาเผยแพร่ ScopeCreep ผ่านคลังโค้ดสาธารณะที่ปลอมแปลงเป็นเครื่องมือ Crosshair-X สำหรับวิดีโอเกม เมื่อผู้ใช้ที่ไม่รู้เรื่องดาวน์โหลดและรันเวอร์ชันที่เป็นอันตราย มัลแวร์จะโหลดและดาวน์โหลดไฟล์อันตรายเพิ่มเติมจากโครงสร้างพื้นฐานของผู้โจมตี เพื่อเริ่มกระบวนการหลายขั้นตอนในการยกระดับสิทธิ์ สร้างความคงอยู่แบบเงียบ แจ้งผู้โจมตี และขโมยข้อมูลสำคัญ
แม้ผู้โจมตีจะใช้มาตรการรักษาความปลอดภัยในการปฏิบัติการและการหลบเลี่ยงการตรวจจับในตัวมัลแวร์ แต่เราก็สามารถตรวจจับกิจกรรมนี้ได้ผ่านกระบวนการตรวจจับการละเมิดไซเบอร์ในระดับของเรา
การเติมเต็ม
ในอีกกรณีหนึ่ง ผู้โจมตีได้ขอความช่วยเหลือในการใช้คำสั่ง PowerShell ผ่าน Go เพื่อแก้ไขการตั้งค่า Windows Defender โดยมองหาวิธีเพิ่มข้อยกเว้นของ AV ในเชิงโปรแกรม ตัวอย่างกิจกรรมเหล่านี้สามารถเทียบเคียงกับกรอบการทำงาน LLM ATT&CK ได้ดังนี้:
- LLM Aided Development – การใช้ LLM ในการคอมไพล์ไฟล์ เช่น python310.dll เพื่อให้โค้ดทำงานเมื่อมีการรัน python.exe
ผลกระทบ
ในขั้นตอนนี้ ผลกระทบของ ScopeCreep อาจถูกบรรเทาลงได้จากการรายงานที่รวดเร็วและความร่วมมืออย่างใกล้ชิดกับพันธมิตรในอุตสาหกรรมที่สามารถยุบเลิกคลังโค้ดที่เป็นอันตรายนั้นได้ แม้ว่ามัลแวร์นี้อาจมีการใช้งานจริงในโลกไซเบอร์ โดยมีตัวอย่างปรากฏใน VirusTotal แต่เราไม่พบหลักฐานว่ามีการสนใจหรือแพร่กระจายในวงกว้าง
ศัพท์ที่ควรรู้
- ChatGPT – โมเดลภาษา AI ที่ถูกใช้เป็นเครื่องมือในการพัฒนาโค้ดและขอความช่วยเหลือทางเทคนิค
- ScopeCreep – ชื่อของมัลแวร์ที่ถูกนำมาใช้ในการโจมตีและขโมยข้อมูล
- Crosshair-X – เครื่องมือซ้อนทับ (overlay tool) ที่ถูกปลอมแปลงเพื่อเป็นพาหะในการแพร่กระจายมัลแวร์
- LLM ATT&CK framework – กรอบการทำงานที่ใช้จำแนกพฤติกรรมของภัยคุกคามที่เกี่ยวข้องกับโมเดลภาษาขนาดใหญ่
ที่มา: OpenAI