CyberAv3ngers：与伊朗相关的网络研究活动
内容提要
OpenAI于2024年10月报告，封禁了疑似与伊朗IRGC关联的组织CyberAv3ngers的账户。该组织利用ChatGPT进行侦察，包括查询PLC默认密码、漏洞及脚本调试，涉及约旦和欧洲目标。OpenAI认为这些活动未提供新能力，仅相当于公开工具可实现的有限辅助。
延伸解读
攻击目标与手法
CyberAv3ngers主要针对工业控制系统（ICS）和可编程逻辑控制器（PLC），涉及水处理、制造和能源领域。其攻击常利用默认或弱密码以及已知漏洞，结合开源工具进行扫描和利用。近期攻击包括美国宾夕法尼亚州水务局和爱尔兰梅奥郡的水服务中断。
ChatGPT的使用方式
该组织使用ChatGPT进行侦察，如查询PLC默认密码、漏洞信息，并请求调试脚本。他们还询问如何混淆恶意代码、使用后渗透工具等。这些行为属于LLM辅助的侦察和脚本技术，但未发现其获得新能力。
影响评估
OpenAI认为这些交互未提供任何新能力、资源或信息，仅相当于公开工具可实现的有限辅助。这表明AI模型在恶意活动中可能仅扮演辅助角色，而非根本性改变攻击能力。
Q&A
CyberAv3ngers是什么组织？
CyberAv3ngers是一个据公开报道与伊朗伊斯兰革命卫队（IRGC）有关联的网络攻击组织，以针对工业控制系统（ICS）和可编程逻辑控制器（PLC）的破坏性攻击而闻名。
CyberAv3ngers利用ChatGPT进行了哪些活动？
他们利用ChatGPT进行侦察活动，包括查询PLC的默认用户名和密码、询问已知漏洞信息、调试代码、创建和优化bash和Python脚本，以及询问如何混淆恶意代码等。
CyberAv3ngers的攻击目标主要涉及哪些地区？
根据公开信息，该组织攻击的基础设施通常与以色列、美国或爱尔兰有关。在ChatGPT上的查询细节还显示对约旦和中欧的兴趣。
CyberAv3ngers在ChatGPT上的活动是否带来了新的能力？
OpenAI评估认为，这些互动没有提供任何新的能力、资源或信息，仅提供了有限的、增量式的辅助，这些辅助已经可以通过公开的非AI工具实现。
CyberAv3ngers在ChatGPT上询问了哪些具体技术问题？
他们询问了Tridium Niagara设备的默认密码、Hirschmann RS系列工业路由器的默认用户名和密码、CrushFTP和Cisco Integrated Management Controller的漏洞、Asterisk VoIP软件的旧漏洞，以及如何创建Modbus TCP/IP客户端等。
CyberAv3ngers在ChatGPT上的活动属于哪些ATT&CK框架类别？
他们的活动主要属于LLM信息侦察、LLM增强脚本技术、LLM辅助漏洞研究、LLM增强异常检测规避、LLM辅助后渗透活动等类别。
