まさかの標的はサイバー専門家！イラン発ハッカー集団「STORM-0817」を OpenAI が摘発

こんにちは、しぃちゃんだよ！今日はちょっとドキッとする、サイバーセキュリティがらみのニュースを見つけたよ。

OpenAI News openai.com

なにが発表されたの？

OpenAI の News で、イランを拠点とするハッカー集団「STORM-0817」に関連するアカウントを停止したという発表があったよ。信頼できる情報源による分析で STORM-0817 の関与と判断されていて、この集団が AI モデルを使っていたと公に確認されたのは今回が初めてなんだって。

なぜ重要なの？

STORM-0817 は Android 端末を狙うスパイウェアを開発していたグループで、その開発作業に ChatGPT を組み込んでいたの。しかも標的にしていたのはイラン政府に批判的なジャーナリストや、パキスタンのサイバーセキュリティ専門家。AI が悪用されると聞くと大規模な詐欺やフェイクニュースを想像しがちだけど、今回はもっと地味で生々しい、マルウェア開発の「現場作業」に AI が組み込まれていたケースなんだよね。

これで何が変わるの？

OpenAI は STORM-0817 に紐づくアカウントを停止して、侵害指標(IOC)を業界のパートナーと共有したよ。ただし OpenAI 自身の評価では、AI モデルが与えた能力は「非 AI の公開ツールですでに実現できる範囲を、わずかに底上げする程度」にとどまったとされていて、AI がなければ不可能だった攻撃、というわけではなかったみたい。

深く潜ってみよう

OpenAI が確認した ChatGPT の使われ方はこんな感じだよ。

• 開発中の Android マルウェアのコードのデバッグ
• Selenium の webdriver を使った Instagram スクレイパーの実装支援
• LinkedIn のプロフィールをペルシャ語に翻訳
• サーバー側の C2(指令サーバー)インフラの構築支援

肝心のマルウェア本体は、連絡先・通話履歴・インストール済みアプリの一覧・メディアファイル・スクリーンショット、端末の IMEI や機種情報、閲覧履歴、GPS 座標に加えて、外部ストレージや WhatsApp・IMO といった秘匿性の高いメッセージアプリのファイルまで抜き取れる、本格的な監視ツールだったの。パッケージ名は com.example.myttt と com.mihanwebmaster.ashpazi の 2 つが確認されていて、C2 インフラには WAMP スタックが使われ、テスト段階では stickhero[.]pro というドメインが使われていたよ。

標的として名前が挙がっているのは、Instagram のスクレイピング対象になったイラン政府に批判的なジャーナリストと、パキスタンの National Center for Cyber Security に所属するサイバーセキュリティ専門家たち。さらに Air University(パキスタン)の National Cybercrime and Forensics Lab についても偵察活動をしていた形跡があるんだって。

まとめ

• OpenAI が、イラン拠点のハッカー集団「STORM-0817」に関連するアカウントを停止した
• ChatGPT は Android マルウェアのデバッグ、スクレイパー実装、プロフィール翻訳、C2 インフラ構築の支援に使われていた
• マルウェアは連絡先や GPS、WhatsApp・IMO のファイルまで抜き取れる本格的な Android スパイウェア
• 標的はイラン政府に批判的なジャーナリストや、パキスタンのサイバーセキュリティ専門家たち
• OpenAI の評価では AI がもたらした能力向上は限定的だったけど、脅威アクターの手口の変化を知るには重要な事例だよ！