ChatGPT: Offensive Security Artificial Intelligence.
Estas semanas está siendo muy comentado el hecho de una nueva herramienta basado en inteligencia artificial: ChatGPT. Es una herramienta basada en inteligencia artificial (IA) desarrollada por OpenAI: https://openai.com/
Esta herramienta gratuita puede brindar al usuario unas capacidades enormes hasta ahora conocidas. Desde preguntarel a la herramienta por preguntas básicas que cualquier humano podría responder hasta algunos aspectos más complicados hasta el punto que puede programar código en distintos lenguajes de programación.
Para hacer uso de la herramienta tenemos que crear un usuario y hacer login en la siguiente dirección: https://chat.openai.com/chat
INTRODUCCIÓN
Una vez que he creado una cuenta he intentado interactuar con la herramienta para ver algunas preguntas básicas y es asombroso como el algoritmo da respuestas totalmente coherente como la pregunta del millón “¿Es necesario ser ingeniero para trabajar en ciberseguridad?”
Este tipo de respuesta es incuso mejor a la que podría brindar un profesional y no es tan fácil responder pero, ¿y si intentamos subir un escalón a nivel de complejidad?
NEXT STEPS
Vamos a intentar subir un escalón a lo que dificultad se refiere y vamos a ver si la IA nos devuelve un script desarrollado en python realizando acciones sencillas.
Como se observa , el algoritmo no es capaz de aprender y procesar ciertas respuestas sino que tambien tiene la capacidad de desarrollar y programar ciertos scripts en varios lenguajes. Si esta herramienta lo utiliza un tercero malintencionado, ¿podría el algoritmo generar y desarrollar ciertos scripts con intención malintencionada que pudiese utilizar un ciberdelincuente para llevar a cabo un impacto directo contra organizaciones?
Offensive Security Artificial Intelligence
En este punto y al estar trabajando en el departamento de Red Team de mi empresa, voy a intentar realizar ciertas acciones que, desde el punto de vista ofensivo de la ciberseguridad, utilizamos dia a dia los profesionales encargados de realizar pentesting, auditorías, etc.
En este punto una de las herramientas más conocidas en entornos de Active Directory es el uso de mimikatz. https://www.gb-advisors.com/es/mimikatz/
A modo de prueba de concepto mi idea ha sido intentar pedirle al algoritmo que descargue mimikatz de un repositorio de github y lo ofusque para evitar ciertas firmas de antivirus que lo detecten como malware. Como paso previo le he pedido a ChatGPT que realice un proceso de permiso de ejecución de scripts asi como un bypass de AMSI para que Defender no me bloquee el proceso de ejecución de mimikatz.
A continuación, le pido al algoritmo que me de un bypass de AMSI:
Nota: Hay un botón integrado en el propio ChatGPT denominado “Try Again”. Observa la respuesta dada por el algoritmo y te muestra una respuesta alternativa. Una verdadera pasada.
En este punto simulando una auditoria real le he pedido al algoritmo que me descargue mimikatz desde Github pero que me ofusque la URL para ser indetectable por algún EDR que tengamos en la Organización y que se ejecute en el lenguaje de Powershell.
¿Y si lo quisiera ejecutar todo en una misma línea de código?¿Sabrá el algoritmo realizar este tipo de acciones en sólo una línea?
CONCLUSIÓN
No me ha parecido mejor idea culminar este artículo del blog diciendoselo al algoritmo y que no sea yo mismo esta vez el que de una respuesta a la pregunta.. ¿Hastá donde vamos a llegar con inteligencia artificial?¿Que acciones maliciosas nos esperan utilizando la inteligencia artificial?
