Hackers chineses automatizam campanhas de ransomware com ChatGPT

O grupo APT UTA0388, alinhado à China, está explorando o ChatGPT da OpenAI para desenvolver malware e elaborar e-mails de spear phishing altamente sofisticados em campanhas globais. A descoberta foi publicada pela empresa de segurança Volexity, que monitora as atividades do grupo desde junho de 2025 e concluiu, com alta confiança, que o ator usa modelos de linguagem (LLMs) para automatizar e aprimorar ataques contra alvos na América do Norte, Ásia e Europa.

Leia também
Falha no Sudo permite escalonamento root
Rootkit FlipSwitch explora syscalls Linux

As campanhas de phishing observadas envolvem a criação de identidades falsas de pesquisadores e organizações fictícias, com o objetivo de induzir as vítimas a baixar arquivos maliciosos. O grupo ampliou suas operações para múltiplos idiomas, incluindo inglês, chinês, japonês, francês e alemão, e passou a adotar a técnica de “phishing de relacionamento”, iniciando conversas legítimas antes de enviar links nocivos.

O malware usado, chamado GOVERSHELL, é distribuído em arquivos ZIP ou RAR contendo um executável legítimo e uma DLL maliciosa. Ao ser executado, o código malicioso é carregado por meio de hijacking da ordem de busca de DLLs, permitindo execução remota de comandos e persistência via tarefas agendadas. Foram identificadas cinco variantes do GOVERSHELL, com mudanças significativas no protocolo de comunicação e transição do código de C++ para Golang, indicando uso ativo de geração automatizada.

Evidências apontam que o grupo utiliza LLMs para automatizar tanto a redação de e-mails quanto a geração de código. As mensagens apresentam padrões típicos de geração por IA, como entidades fictícias, inconsistências linguísticas e erros contextuais, por exemplo, e-mails com assunto em mandarim e corpo em alemão. Também foram detectados endereços inexistentes e anexos com conteúdo aleatório, como imagens pornográficas e áudios religiosos, reforçando a falta de supervisão humana.

A Volexity avalia com alta confiança que o UTA0388 atua em nome do Estado chinês, com foco em questões geopolíticas asiáticas e artefatos técnicos contendo caracteres chineses simplificados. O uso contínuo de IA para gerar códigos e campanhas em larga escala representa uma ameaça emergente, pois aumenta a velocidade e a capacidade de disseminação dos ataques.