Cibearoibríocht: tacaíocht i gCóiréis do bhogearraí mailíseacha

Foilsíodh an cás-staidéar seo ar dtús i dtuarascáil OpenAI do mhí Dheireadh Fómhair 2025⁠(osclaíonn i bhfuinneog nua).

D’aithníomar agus chuireamar cosc ar ghrúpa cuntas ChatGPT a ndearna a n-oibreoirí Cóiréiseacha iarracht ár samhlacha a úsáid chun bogearraí mailíseacha agus córais ceannais agus rialaithe (C2) a fhorbairt. Tá táscairí a thugamar faoi deara inár gcásobair ag teacht le tuarascáil ó Trellix a cheangail gníomhaíocht den chineál céanna le feachtais fioscaireachta spriocdhírithe i gcoinne mhisin taidhleoireachta na Cóiré Theas, le himscaradh bhogearra mailíseach XenoRAT agus le húsáid stórtha ar GitHub le haghaidh C2.

Cé go bhfuil na cosúlachtaí le tuairisciú Trellix — lena n-áirítear úsáid na Cóiréise, gníomhaíocht a bhí ag teacht le criosanna ama UTC+8 agus UTC+9, agus téamaí agus ábhair oibríochtúla — ag teacht le tuiscint an phobail slándála ar ghníomhaithe ón gCóiré Thuaidh (DPRK), ní féidir linn freagracht a leagan go neamhspleách orthu. Cuirimid bac freisin ar rochtain ar ár seirbhísí ón gCóiré Thuaidh.

D’idirghníomhaigh na cuntais lenár samhlacha trí mheán na Cóiréise den chuid is mó, agus léirigh siad sreafaí oibre struchtúrtha inar ghníomhaigh go leor cuntas laistigh de thréimhsí gearra ama. Dealraíonn sé gur dhírigh gach ceann de na cuntais seo ar chás úsáide ar leith — mar shampla, síntí Chrome a thiontú le haghaidh Safari lena bhfoilsiú in Apple App Store, VPNanna Windows Server a chumrú, nó síntí macOS Finder a fhorbairt — seachas ar iliomad réimsí teicniúla.

Thugamar faoi deara idirghníomhaíochtaí lenár samhlacha a bhain le hookáil API Windows, sreafaí oibre chun rochtain a fháil ar dhintiúir agus ar fhianáin brabhsálaí (DPAPI), agus leathanaigh fíorúcháin aithriseacha amhail cóipeanna de reCAPTCHA. Chonaiceamar dréachtríomhphoist fioscaireachta i gCóiréis freisin. Ba mhinic a bhain siad le criptea-airgeadra agus ceapadh iad le bheith cosúil le teachtaireachtaí ó sholáthraithe seirbhísí rialtais nó airgeadais.

Ina theannta sin, rinne na gníomhaithe turgnaimh le seirbhísí stórála néil amhail pCloud, file.io, cruthú nasc díreach GDrive agus scriptiú API, chomh maith le feidhmeanna GitHub amhail inneachar amh a aisghabháil agus téacschomharthaí a láimhseáil. Ní bhfuaireamar aon fhianaise gur gineadh lenár samhlacha na comhaid dhénártha mhailíseacha a úsáideadh sna feachtais ar chuir Trellix síos orthu. D’fhéadfadh sé gur úsáid na hoibreoirí céanna ár samhlacha agus iad ag ullmhú pálastaí trí ardáin forbróirí agus néil.

Ghin na gníomhaithe bagartha aschuir samhla a ceapadh chun tacú le réimsí éagsúla oibríochtúla, lena n-áirítear:

• Forbairt ionchlannán agus obair ghaolmhar le RATanna: iniúchadh ar lódáil fhrithchaiteach DLLanna, forghníomhú sa chuimhne agus teicnící hookála API Windows.

• Gnáthaimh ghoid dintiúr: scripteanna a ghiniúint, a mhodhnú agus a dhífhabhtú chun eochracha criptithe brabhsálaí, fianáin agus pasfhocail shábháilte a bhaint trí shreafaí oibre Chrome / Edge DPAPI.

• Fioscaireacht agus baoite: inneachar fioscaireachta i gCóiréis, de réir dealraimh, a dhréachtú, a bhain go minic le criptea-airgeadra, institiúidí rialtais nó soláthraithe seirbhísí airgeadais; agus turgnaimh a dhéanamh le doiléiriú HTML agus reCAPTCHA a chur trí sheachfhreastalaí chun leathanaigh inchreidte logála isteach a chruthú.

• Creatlach forbartha macOS: iarrataí maidir le síntí Finder agus Safari a fhorbairt agus polasaí príobháideachais samplach don App Store a ghiniúint.

• Oibríochtaí criptea-airgeadra: fabhtcheartú glaonna API agus idirghníomhaíochtaí le tiachóga.

Bhain go leor de na hiarrataí seo le limistéar liath na gníomhaíochta dé-úsáide. D’fhéadfadh feidhmeanna iomlán dlisteanacha a bheith i gceist leo, amhail dífhabhtú bogearraí, cripteagrafaíocht nó forbairt brabhsálaithe, ach bíonn tábhacht eile leo nuair a úsáideann gníomhaí bagartha chun críche eile iad.

Dhíchumasaíomar gach cuntas a bhain leis an oibríocht seo agus roinneamar táscairí ábhartha le comhpháirtithe. Ní bhfuaireamar aon fhianaise gur chuir rochtain ar shamhlacha cumais nua ar fáil sa bhreis ar a bhfuil ar fáil go poiblí cheana féin.