Cyberoperation: Koreansksproget støtte til malware

Dette casestudie blev oprindeligt offentliggjort i OpenAI's rapport fra oktober 2025⁠(åbner i et nyt vindue).

Vi identificerede og udelukkede en gruppe ChatGPT‑konti, hvis koreansksprogede operatører forsøgte at bruge vores modeller til at udvikle malware og kommando- og kontrolsystemer (C2). Indikatorer fra vores undersøgelser overlapper med en rapport fra Trellix, som kædede lignende aktivitet sammen med målrettede phishingkampagner mod sydkoreanske diplomatiske repræsentationer, udrulning af XenoRAT-malware og brug af GitHub-baserede kodearkiver til C2.

Overlapningen med Trellix' rapportering – herunder den observerede brug af koreansk, aktivitet i tidszonerne UTC+8 og UTC+9 samt operationelle temaer og emner – stemmer overens med sikkerhedsbranchens forståelse af nordkoreanske aktører (DPRK). Vi kan dog ikke uafhængigt fastslå, hvem der står bag, og vi blokerer desuden adgangen til vores tjenester fra Nordkorea.

Kontiene brugte primært vores modeller på koreansk og fulgte strukturerede arbejdsgange, hvor mange konti var aktive inden for korte tidsrum. Hver konto ser ud til at have fokuseret på et bestemt anvendelsesområde, f.eks. konvertering af Chrome-udvidelser til Safari med henblik på udgivelse i Apple App Store, konfiguration af VPN'er på Windows Server eller udvikling af macOS Finder-udvidelser, frem for at dække flere tekniske områder.

Vi observerede interaktioner med vores modeller om bl.a. hooking af Windows API'er, arbejdsgange til adgang til browserloginoplysninger og cookies (DPAPI) samt efterlignede bekræftelsessider såsom reCAPTCHA-kloner. Vi så også udkast til phishingmails på koreansk, ofte med kryptovaluta som tema og udformet, så de lignede beskeder fra offentlige myndigheder eller udbydere af finansielle tjenester.

Derudover eksperimenterede aktørerne med cloudlagringstjenester som pCloud og file.io, oprettelse af direkte GDrive-links og API-scripts samt GitHub-funktioner som hentning af råt indhold og tokenhåndtering. Vi fandt ingen tegn på, at de skadelige binære filer, der blev brugt i de kampagner, som Trellix beskrev, var genereret med vores modeller. Det er muligt, at de samme operatører brugte vores modeller, samtidig med at de klargjorde nyttelaster via udvikler- og cloudplatforme.

Trusselsaktørerne fik modellerne til at generere output, der skulle understøtte flere operationelle områder, herunder:

• Implant- og RAT-relateret udvikling: udforskning af reflektiv DLL-indlæsning, kørsel i hukommelsen og teknikker til hooking af Windows API'er.

• Rutiner til tyveri af loginoplysninger: generering, ændring og fejlfinding af scripts til udtrækning af browseres krypteringsnøgler, cookies og gemte adgangskoder via DPAPI-arbejdsgange i Chrome og Edge.

• Phishing og lokkemidler: udarbejdelse af tilsyneladende koreansksproget phishingindhold, ofte med fokus på kryptovaluta, offentlige institutioner eller udbydere af finansielle tjenester; eksperimenter med HTML-obfuskering og videresendelse af reCAPTCHA via proxy for at skabe overbevisende login-sider.

• Grundstruktur til macOS-udvikling: forespørgsler om udvikling af Finder- og Safari-udvidelser samt generering af et eksempel på en privatlivspolitik til App Store.

• Kryptovalutaaktiviteter: fejlfinding af API-kald og interaktioner med wallets.

Mange af disse forespørgsler befandt sig i gråzonen for aktiviteter med dobbelt anvendelse. Der kan være tale om helt legitime anvendelser såsom fejlfinding af software, kryptografi eller browserudvikling, men de får en anden betydning, når en trusselsaktør bruger dem til andre formål.

Vi deaktiverede alle konti med tilknytning til operationen og delte relevante indikatorer med vores partnere. Vi fandt ingen tegn på, at adgangen til modellerne gav nye funktioner ud over dem, der allerede er offentligt tilgængelige.