Kibernetička operacija: podrška za zlonamjerni softver na korejskom jeziku

Ova studija slučaja prvobitno je objavljena u izvještaju OpenAI-ja za oktobar 2025.⁠(otvara se u novom prozoru)

Identificirali smo i zabranili grupu ChatGPT naloga čiji su operateri, služeći se korejskim jezikom, pokušali koristiti naše modele za razvoj zlonamjernog softvera i sistema za komandovanje i kontrolu (C2). Pokazatelji koje smo uočili tokom rada na ovom slučaju podudaraju se s izvještajem kompanije Trellix, koji je slične aktivnosti povezao s kampanjama ciljanog phishinga protiv južnokorejskih diplomatskih misija, instaliranjem zlonamjernog softvera XenoRAT i korištenjem repozitorija na GitHubu za C2.

Iako podudarnosti s izvještajem kompanije Trellix — uključujući uočenu upotrebu korejskog jezika, aktivnosti usklađene s vremenskim zonama UTC+8 i UTC+9 te operativne teme — odgovaraju shvatanju sjevernokorejskih aktera (DPRK) u sigurnosnoj zajednici, ne možemo samostalno utvrditi ko stoji iza tih aktivnosti. Također blokiramo pristup našim uslugama iz Sjeverne Koreje.

Nalozi su s našim modelima komunicirali prvenstveno na korejskom jeziku, koristeći strukturirane tokove rada, pri čemu su mnogi bili aktivni u kratkim vremenskim intervalima. Čini se da je svaki od ovih naloga bio usmjeren na određenu namjenu, poput prilagođavanja proširenja za Chrome Safariju radi objavljivanja u Apple App Storeu, konfiguriranja VPN-ova na Windows Serveru ili razvoja proširenja za Finder na macOS-u, umjesto da je jedan nalog obuhvatao više tehničkih područja.

Uočili smo interakcije s našim modelima povezane s presretanjem Windows API poziva, postupcima za pristup podacima za prijavu i kolačićima iz preglednika (DPAPI) te lažnim stranicama za provjeru identiteta, poput kopija sistema reCAPTCHA. Vidjeli smo i nacrte phishing poruka e-pošte na korejskom jeziku, često s temama iz svijeta kriptovaluta i osmišljene tako da izgledaju kao poruke državnih institucija ili pružalaca finansijskih usluga.

Akteri su također eksperimentirali s uslugama pohrane u oblaku kao što su pCloud, file.io i GDrive, izradom direktnih veza i API skripti te funkcijama GitHuba poput preuzimanja neobrađenog sadržaja i obrade tokena. Nismo pronašli dokaze da su zlonamjerne izvršne datoteke korištene u kampanjama koje je opisao Trellix generisane pomoću naših modela. Moguće je da su isti operateri koristili naše modele dok su pripremali korisni teret putem razvojnih platformi i platformi u oblaku.

Akteri prijetnji generisali su rezultate modela namijenjene podršci u više operativnih područja, uključujući:

• Razvoj implantata i alata povezanih s RAT-ovima: istraživanje reflektivnog učitavanja DLL datoteka, izvršavanja u memoriji i tehnika presretanja Windows API poziva.

• Postupci za krađu pristupnih podataka: generisanje, mijenjanje i otklanjanje grešaka u skriptama za izdvajanje ključeva za šifriranje, kolačića i sačuvanih lozinki iz preglednika pomoću DPAPI postupaka u preglednicima Chrome i Edge.

• Phishing i mamci: izrada sadržaja na korejskom jeziku koji je djelovao kao phishing, često s temama kriptovaluta, državnih institucija ili pružalaca finansijskih usluga; eksperimentiranje s prikrivanjem HTML koda i prosljeđivanjem sistema reCAPTCHA radi izrade uvjerljivih stranica za prijavu.

• Razvojna osnova za macOS: zahtjevi povezani s razvojem proširenja za Finder i Safari te generisanjem primjera pravila privatnosti za App Store.

• Operacije s kriptovalutama: otklanjanje problema s API pozivima i interakcijama s novčanicima.

Mnogi od ovih zahtjeva spadali su u sivu zonu aktivnosti dvojne namjene. Takve aktivnosti mogu imati sasvim legitimne primjene, poput otklanjanja grešaka u softveru, kriptografije ili razvoja preglednika, ali dobijaju drugačije značenje kada ih akter prijetnje prenamijeni.

Onemogućili smo sve naloge povezane s ovom operacijom i relevantne pokazatelje podijelili s partnerima. Nismo pronašli dokaze da je pristup modelima omogućio nove sposobnosti osim onih koje su već javno dostupne.