Demuestran que se puede usar ChatGPT para crear un malware indetectable por un antivirus

Un investigador ha logrado utilizar el chatbot ChatGPT para crear un software maliciososo capaz de robar datos de dispositivos y evitar ser detectado por programas de ciberseguridad como VirusTotal.

ChatGPT es un sistema de chat basado en el modelo de lenguaje por Inteligencia Artificial desarrollado por la empresa OpenAI, que puede realizar tareas como responder preguntas y mantener una conversación realista con un usuario.

Ya son varias las compañías que han implementado esta tecnología en sus servicios, como es el caso de Microsoft en su motor de búsqueda, Bing, y su navegador, Microsoft Edge. Sin embargo, hay empresas tecnológicas y líderes del sector que han señalado la peligrosidad de esta inteligencia artificial (IA).

Entre ellos, el cofundador de Apple, Steve Wozniak, o el director ejecutivo de Tesla, SpaceX y Twitter, Elon Musk, que aparecen como firmantes de una petición en la que se busca paralizar temporalmente los grandes experimentos con IA por los riesgos que pueden suponer para la sociedad.

De hecho, compañías enfocadas a la ciberseguridad, como Check Point, han descubierto que los ciberdelincuentes ya utilizan esta herramienta para recrear cepas de malware y ejecutar ataques de software malicioso.

Más recientemente, el investigador de Forcepoint Aaron Mulgrew ha descubierto que se puede utilizar este chatbot para desarrollar un ‘exploit’ de día cero que puede robar datos de un dispositivo y evadir controles de detección de software malicioso.

Mulgrew ha explicado que, aun siendo “un novato confeso”, ha sido capaz de crear malware “en pocas horas” con la ayuda de ChatGPT, comenzando sus pruebas con el lenguaje de programación Go.

Si bien en primer lugar este chatbot le recordó que no era ético generar malware y se negó a ofrecerle ningún código para ayudarle a llevar a cabo esta acción, el investigador se percató pronto de que era sencillo “evadir las protecciones insuficientes que tiene ChatGPT y crear malware avanzado sin escribir ningún código”, esto es, solo con el propio modelo desarrollado por OpenAI.

Para sobrepasar los filtros impuestos por el chatbot, Mulgrew decidió generar pequeños fragmentos de código para que la inteligencia artificial no fuera capaz de reconocer que, en conjunto, se convertirían en carga maliciosa.

Entonces, pudo obtener un código capaz de dividir un PDF en fragmentos de 100KB. Para proceder a esa fuga de datos o “exfiltración silenciosa”, el investigador usó la esteganografía, esto es, una técnica que oculta mensajes dentro de un archivo sin que se puedan observar cambios en él.

El siguiente paso fue exponerlo ante diferentes proveedores de soluciones de seguridad de VirusTotal. De un total de 69 de ellos, solo lo detectaron cinco, que habrían marcado como sospechoso este código por un identificador único global (GUUID), por sus siglas en inglés.

Entonces, ChatGPT propició la creación de LSB Steganography -una técnica de esteganografía consistente en ocultar mensajes cifrados dentro de una imagen- lo que redujo a dos los proveedores capaces de detectar el código malicioso.

Tras conocer la naturaleza de estas dos soluciones de seguridad, el investigador le pidió a ChatGPT que introdujera dos nuevos cambios en el código para ofuscar su carácter malicioso. Entonces, logró volver a pasarlo por VirusTotal y concluyó que se podía desarrollar un exploit de día cero sin ser detectado por este proveedor.

“Simplemente utilizando las indicaciones de ChatGPT y sin escribir ningún código, pudimos producir un ataque muy avanzado en solo unas pocas horas”, ha explicado el investigador en este escrito.