સાયબર કામગીરી: કોરિયન ભાષામાં દૂષિત સૉફ્ટવેર માટે સહાય

આ કેસ સ્ટડી મૂળરૂપે OpenAIના ઑક્ટોબર 2025⁠(નવી વિન્ડોમાં ખૂલે છે)ના અહેવાલમાં પ્રકાશિત થઈ હતી.

અમે ChatGPT ખાતાઓના એક સમૂહને ઓળખીને પ્રતિબંધિત કર્યો, જેના કોરિયન-ભાષી સંચાલકોએ દૂષિત સૉફ્ટવેર અને કમાન્ડ-એન્ડ-કંટ્રોલ (C2) પ્રણાલીઓ વિકસાવવા માટે અમારા મોડલનો ઉપયોગ કરવાનો પ્રયાસ કર્યો હતો. અમારી તપાસમાં જોવા મળેલા સંકેતો Trellixના અહેવાલ સાથે મેળ ખાય છે, જેમાં આવી જ પ્રવૃત્તિને દક્ષિણ કોરિયાના રાજદ્વારી મિશનોને નિશાન બનાવતાં સ્પિયર-ફિશિંગ અભિયાનો, XenoRAT દૂષિત સૉફ્ટવેરની ગોઠવણી અને C2 માટે GitHub-આધારિત રિપોઝિટરીઓના ઉપયોગ સાથે સાંકળવામાં આવી હતી.

Trellixના અહેવાલ સાથે જોવા મળતી સમાનતાઓમાં કોરિયન ભાષાનો ઉપયોગ, UTC+8 અને UTC+9 સમય ક્ષેત્રોને અનુરૂપ પ્રવૃત્તિ તથા કામગીરીની રીતો અને વિષયો સામેલ છે. આ બાબતો ઉત્તર કોરિયાના (DPRK) હુમલાખોરો વિશે સુરક્ષા સમુદાયની સમજ સાથે સુસંગત છે, છતાં અમે સ્વતંત્ર રીતે આ પ્રવૃત્તિ કોની છે તે નક્કી કરી શકતા નથી. અમે ઉત્તર કોરિયામાંથી અમારી સેવાઓનો ઉપયોગ પણ અવરોધીએ છીએ.

આ ખાતાઓએ અમારા મોડલ સાથે મુખ્યત્વે કોરિયન ભાષામાં સંવાદ કર્યો હતો. તેમની કાર્યપદ્ધતિ સુવ્યવસ્થિત હતી અને ઘણાં ખાતાં ટૂંકા સમયગાળા દરમિયાન સક્રિય રહેતાં હતાં. આ દરેક ખાતું અનેક તકનીકી ક્ષેત્રોમાં કામ કરવાને બદલે કોઈ ચોક્કસ ઉપયોગ પર કેન્દ્રિત જણાતું હતું. ઉદાહરણ તરીકે, Apple App Store પર પ્રકાશન માટે Chrome એક્સ્ટેન્શનને Safari માટે રૂપાંતરિત કરવું, Windows Server VPN ગોઠવવું અથવા macOS Finder એક્સ્ટેન્શન વિકસાવવું.

અમે અમારા મોડલ સાથે Windows API હૂકિંગ, બ્રાઉઝરનાં ઓળખપત્રો અને કૂકીઝ મેળવવાની કાર્યપદ્ધતિઓ (DPAPI) તથા reCAPTCHAની નકલ જેવાં અસલી દેખાતાં ચકાસણી પૃષ્ઠો અંગેના સંવાદો જોયા હતા. અમને કોરિયન ભાષામાં ફિશિંગ ઇમેઇલના મુસદ્દા પણ જોવા મળ્યા. તે ઘણી વાર ક્રિપ્ટોકરન્સી આધારિત હતા અને સરકારી અથવા નાણાકીય સેવા પ્રદાતાઓના સંદેશા જેવા દેખાય તે રીતે બનાવવામાં આવ્યા હતા.

વધુમાં, હુમલાખોરોએ pCloud, file.io જેવી ક્લાઉડ-સ્ટોરેજ સેવાઓ, GDriveની સીધી લિંક બનાવવાની રીત અને API સ્ક્રિપ્ટિંગનો પ્રયોગ કર્યો હતો. તેમણે કાચી સામગ્રી મેળવવા અને ટોકન સંભાળવા જેવી GitHub સુવિધાઓનો પણ પ્રયોગ કર્યો હતો. Trellixએ વર્ણવેલાં અભિયાનોમાં વપરાયેલી દૂષિત બાઇનરી ફાઇલો અમારા મોડલ વડે બનાવવામાં આવી હોવાના કોઈ પુરાવા અમને મળ્યા નથી. શક્ય છે કે એ જ સંચાલકો ડેવલપર અને ક્લાઉડ પ્લૅટફૉર્મ દ્વારા પેલોડ તૈયાર કરતી વખતે અમારા મોડલનો ઉપયોગ કરતા હોય.

જોખમી હુમલાખોરોએ મોડલ મારફતે એવા પ્રતિભાવો બનાવ્યા હતા, જે કામગીરીનાં અનેક ક્ષેત્રોમાં મદદરૂપ થવા માટે રચાયેલા હતા. તેમાં આ બાબતો સામેલ હતી:

• ઇમ્પ્લાન્ટ અને RAT-સંબંધિત વિકાસ: રિફ્લેક્ટિવ DLL લોડિંગ, મેમરીમાં જ અમલીકરણ અને Windows API હૂકિંગ તકનીકોની તપાસ.

• ઓળખપત્રોની ચોરી માટેની પ્રક્રિયાઓ: Chrome / Edgeની DPAPI કાર્યપદ્ધતિઓ વડે બ્રાઉઝરની એન્ક્રિપ્શન કી, કૂકીઝ અને સાચવેલા પાસવર્ડ કાઢવા માટે સ્ક્રિપ્ટ બનાવવી, બદલવી અને તેમાંની ભૂલો સુધારવી.

• ફિશિંગ અને પ્રલોભનો: કોરિયન ભાષામાં ફિશિંગ માટેની જણાતી સામગ્રીના મુસદ્દા બનાવવા, જે ઘણી વાર ક્રિપ્ટોકરન્સી, સરકારી સંસ્થાઓ અથવા નાણાકીય સેવા પ્રદાતાઓ પર આધારિત હતી. વિશ્વસનીય દેખાતાં લૉગઇન પૃષ્ઠો માટે HTML કોડને અસ્પષ્ટ બનાવવા અને reCAPTCHAને પ્રૉક્સી મારફતે ચલાવવાના પ્રયોગો પણ કરવામાં આવ્યા.

• macOS વિકાસ માટેનું માળખું: Finder અને Safari એક્સ્ટેન્શનના વિકાસ તથા App Store માટે નમૂનારૂપ પ્રાઇવસી પોલિસી બનાવવા અંગેની વિનંતીઓ.

• ક્રિપ્ટોકરન્સી કામગીરી: API કૉલ અને વૉલેટ સાથેની ક્રિયાપ્રતિક્રિયામાં આવતી સમસ્યાઓ ઉકેલવી.

આમાંની ઘણી વિનંતીઓ બેવડા ઉપયોગવાળી પ્રવૃત્તિના અનિશ્ચિત ક્ષેત્રમાં આવતી હતી. સૉફ્ટવેરમાં ભૂલો સુધારવી, ક્રિપ્ટોગ્રાફી અથવા બ્રાઉઝર વિકસાવવા જેવાં આ કાર્યો સંપૂર્ણપણે કાયદેસર ઉપયોગ ધરાવી શકે છે, પરંતુ કોઈ જોખમી હુમલાખોર તેનો બીજા હેતુ માટે ઉપયોગ કરે ત્યારે તેમનું મહત્ત્વ બદલાઈ જાય છે.

અમે આ કામગીરી સાથે સંકળાયેલાં તમામ ખાતાં નિષ્ક્રિય કર્યાં અને સંબંધિત સંકેતો ભાગીદારો સાથે વહેંચ્યા. મોડલની સુલભતાએ જાહેરમાં પહેલેથી ઉપલબ્ધ ક્ષમતાઓ ઉપરાંત કોઈ નવી ક્ષમતા પૂરી પાડી હોવાના પુરાવા અમને મળ્યા નથી.