Firma de securitate Proofpoint a dezvăluit o campanie de spionaj cibernetic care vizează experții în inteligență artificială (AI) din sectorul privat, mediul academic și guvern. Această operațiune sofisticată, utilizând un troian de acces la distanță (RAT) cunoscut sub numele de SugarGh0st, sa concentrat în primul rând pe specialiștii din SUA în inteligența artificială generativă.
Campania și implicațiile sale
Descoperirile lui Proofpoint se aliniază cu un Reuters raport din 8 mai 2024, care a evidențiat măsuri sporite din SUA pentru a restricționa accesul Chinei la tehnologiile AI generative. Această aliniere temporală sugerează că actorii chinezi pot recurge la spionaj pentru a-și dezvolta capacitățile AI. Deși Proofpoint nu a atribuit definitiv activitatea unei anumite entități, a identificat provizoriu operatorii din spatele acestor atacuri drept UNK_SweetSpecter.
SugarGh0st este o variantă a Gh0stRAT, un troian folosit anterior de diverse grupuri chineze. Cisco Talos a documentat pentru prima dată SugarGh0st în noiembrie 2023, după desfășurarea sa împotriva entităților guvernamentale din Uzbekistan și Coreea de Sud. Codul troianului conține artefacte în limba chineză, iar metodologiile sale de infecție prezintă asemănări cu incidentele anterioare, susținând ipoteza unui actor de amenințare vorbitor de mandarin.
Tactici, tehnici și proceduri
Atacatorii au folosit e-mailurile de phishing ca intrare principală metoda, valorificând teme legate de AI pentru a atrage victimele. Aceste e-mailuri, trimise din conturi gratuite, atrag țintele să deschidă fișiere ZIP atașate care conțin fișiere.LNK. Aceste fișiere execută comenzi shell indirect, ceea ce duce la implementarea unui dropper JavaScript. Dropper-ul îndeplinește mai multe funcții: afișarea unui document momeală, utilizarea unui instrument ActiveX pentru încărcare laterală și implementarea unui binar criptat. Biblioteca ActiveX este crucială pentru executarea codului shell, care inițiază SugarGh0st RAT printr-o intrare de pornire etichetată CTFM0N.exe, încorporând malware-ul în sistem.
Scopul și obiectivul
h3>
Urmărirea de către Proofpoint a implementării SugarGh0st dezvăluie un tipar de atacuri foarte țintite. Printre victime se numără un gigant de telecomunicații din SUA, o casă de presă internațională, un organism guvernamental din Asia de Sud și aproximativ zece persoane asociate cu o organizație de IA americană de top. Specificul acestor atacuri și concentrarea lor asupra instrumentelor AI indică intenția atacatorilor de a obține informații sensibile, non-publice legate de AI generativă.
Raportul evidențiază amenințările emergente cu care se confruntă comunitatea de cercetare AI și sugerează o potențială schimbare a tacticilor de spionaj cibernetic cu implicații largi pentru competiția globală în tehnologie. Analiza cuprinzătoare a Proofpoint include indicatori de compromis, cum ar fi hash-uri de fișiere, adrese IP și adrese URL, împreună cu semnături de detectare, oferind informații esențiale pentru consolidarea apărării împotriva acestei amenințări cibernetice și a altor amenințări cibernetice similare.
Informații suplimentare
Proofpoint urmărește clusterul responsabil pentru această activitate ca UNK_SweetSpecter. În campania din mai 2024, UNK_SweetSpecter a folosit un cont de e-mail gratuit pentru a trimite momeli cu tematică AI, atrăgând ținte să deschidă arhive ZIP atașate. Lanțul de infecție a imitat o metodă raportată anterior de Cisco Talos, fișierele LNK conținând artefacte de metadate similare și marcaje temporale falsificate.
Plugărul JavaScript includea un document momeală, un instrument ActiveX pentru încărcare laterală și un binar criptat. toate codificate în base64. Sarcina utilă a prezentat protocoale de înregistrare a tastelor, comandă și control (C2) și metode de exfiltrare a datelor. Diferențele în lanțul de infecție observate de Proofpoint au inclus un nume de cheie de registry modificat pentru persistență, un număr redus de comenzi pe care sarcina utilă SugarGh0st le-ar putea executa și un server C2 diferit.
