Kybernetická operace: podpora malwaru v korejštině

Tato případová studie byla původně zveřejněna ve zprávě OpenAI z října 2025⁠(otevře se v novém okně).

Identifikovali jsme a zablokovali skupinu účtů ChatGPT, jejichž korejsky hovořící provozovatelé se pokoušeli využívat naše modely k vývoji malwaru a infrastruktury pro velení a řízení (C2). Indikátory, které jsme při vyšetřování zaznamenali, se překrývají se zjištěními ve zprávě společnosti Trellix. Ta podobnou aktivitu spojila s cílenými phishingovými kampaněmi proti jihokorejským diplomatickým misím, nasazením malwaru XenoRAT a využíváním repozitářů na GitHubu pro C2.

Překryv se zjištěními společnosti Trellix – včetně zaznamenaného používání korejštiny, aktivity odpovídající časovým pásmům UTC+8 a UTC+9 a také operačních motivů a témat – je sice v souladu s tím, jak bezpečnostní komunita chápe aktéry ze Severní Koreje (KLDR), sami však původ aktivity určit nedokážeme. Přístup k našim službám ze Severní Koreje navíc blokujeme.

Účty komunikovaly s našimi modely převážně v korejštině a vykazovaly strukturované pracovní postupy, při nichž bylo mnoho účtů aktivních v úzce vymezených časových oknech. Každý z těchto účtů se zřejmě zaměřoval na konkrétní způsob využití – například převod rozšíření pro Chrome do Safari za účelem publikace v Apple App Store, konfiguraci sítí VPN ve Windows Serveru nebo vývoj rozšíření Finderu pro macOS – namísto toho, aby pokrýval více technických oblastí.

Zaznamenali jsme interakce s našimi modely týkající se například napojování na rozhraní Windows API, postupů pro přístup k přihlašovacím údajům a souborům cookie v prohlížečích (DPAPI) a napodobenin ověřovacích stránek, jako jsou klony reCAPTCHA. Zaznamenali jsme také návrhy phishingových e-mailů v korejštině, které se často týkaly kryptoměn a měly působit jako zprávy od státních institucí nebo poskytovatelů finančních služeb.

Aktéři navíc experimentovali se službami cloudového úložiště, jako jsou pCloud, file.io a GDrive, s vytvářením přímých odkazů a skriptováním API a také s funkcemi GitHubu, například načítáním nezpracovaného obsahu a prací s tokeny. Nenašli jsme důkazy, že by škodlivé binární soubory použité v kampaních popsaných společností Trellix byly vygenerovány pomocí našich modelů. Je možné, že stejní provozovatelé používali naše modely a současně připravovali škodlivé komponenty prostřednictvím vývojářských a cloudových platforem.

Aktéři hrozby generovali výstupy modelů určené k podpoře několika oblastí jejich činnosti, mimo jiné:

• Vývoj implantátů a nástrojů podobných RAT: zkoumání reflektivního načítání knihoven DLL, spouštění v paměti a technik napojování na rozhraní Windows API.

• Postupy ke krádeži přihlašovacích údajů: generování, úpravy a ladění skriptů pro extrakci šifrovacích klíčů prohlížečů, souborů cookie a uložených hesel pomocí postupů DPAPI v prohlížečích Chrome a Edge.

• Phishing a návnady: vytváření obsahu v korejštině, který zřejmě sloužil k phishingu a často se týkal kryptoměn, státních institucí nebo poskytovatelů finančních služeb; experimentování s obfuskací HTML a předáváním reCAPTCHA přes proxy za účelem vytvoření přesvědčivých přihlašovacích stránek.

• Základní komponenty pro vývoj v macOS: požadavky týkající se vývoje rozšíření pro Finder a Safari a vygenerování vzorových zásad ochrany soukromí pro App Store.

• Operace s kryptoměnami: řešení problémů s voláními API a interakcemi s peněženkami.

Mnoho těchto požadavků spadalo do šedé zóny činností dvojího užití. Může jít o zcela legitimní využití, například při ladění softwaru, v kryptografii nebo při vývoji prohlížečů. Pokud však tyto postupy využije aktér hrozby k jinému účelu, získávají odlišný význam.

Všechny účty spojené s touto operací jsme deaktivovali a příslušné indikátory jsme sdíleli s partnery. Nenašli jsme žádné důkazy, že by přístup k modelům umožnil nové schopnosti nad rámec toho, co je již veřejně dostupné.