साइबर अभियान: कोरियाई भाषा में मैलवेयर सहायता

यह केस स्टडी मूल रूप से OpenAI की अक्टूबर 2025⁠(एक नई विंडो में खुलेगा) की रिपोर्ट में प्रकाशित हुई थी.

हमने ChatGPT खातों के एक समूह की पहचान करके उन पर प्रतिबंध लगाया, जिनके कोरियाई-भाषी संचालकों ने मैलवेयर और कमांड-एंड-कंट्रोल (C2) प्रणालियां विकसित करने के लिए हमारे मॉडलों का उपयोग करने की कोशिश की थी. हमारी जांच में मिले संकेतक Trellix की एक रिपोर्ट से मेल खाते हैं, जिसमें ऐसी ही गतिविधि को दक्षिण कोरियाई राजनयिक मिशनों के विरुद्ध लक्षित फ़िशिंग अभियानों, XenoRAT मैलवेयर की तैनाती और C2 के लिए GitHub-आधारित रिपॉजिटरी के उपयोग से जोड़ा गया था.

Trellix की रिपोर्ट से समानताएं, जिनमें कोरियाई भाषा का उपयोग, UTC+8 और UTC+9 समय क्षेत्रों के अनुरूप गतिविधि तथा मिलते-जुलते परिचालन विषय शामिल हैं, उत्तर कोरियाई (DPRK) संचालकों के बारे में सुरक्षा समुदाय की समझ के अनुरूप हैं. फिर भी, हम स्वतंत्र रूप से यह निर्धारित नहीं कर सकते कि इसके पीछे कौन था. हम उत्तर कोरिया से अपनी सेवाओं तक पहुंच भी अवरुद्ध करते हैं.

इन खातों ने हमारे मॉडलों से मुख्य रूप से कोरियाई भाषा में संवाद किया. उनकी कार्यप्रणाली सुव्यवस्थित थी और कई खाते सीमित समयावधियों में सक्रिय रहे. ऐसा लगता है कि इनमें से प्रत्येक खाते ने किसी एक विशिष्ट उपयोग पर ध्यान केंद्रित किया. उदाहरण के लिए, Chrome एक्सटेंशन को Apple App Store पर प्रकाशित करने के लिए Safari के अनुकूल बनाना, Windows Server के वीपीएन को कॉन्फ़िगर करना या macOS Finder एक्सटेंशन विकसित करना. कोई एक खाता कई तकनीकी क्षेत्रों में सक्रिय नहीं दिखा.

हमने अपने मॉडलों के साथ Windows एपीआई हुकिंग, ब्राउज़र क्रेडेंशियल और कुकी तक पहुंचने की कार्यप्रणालियों (DPAPI) तथा reCAPTCHA की नकल करने वाले सत्यापन पृष्ठों जैसे विषयों पर संवाद देखा. हमें कोरियाई भाषा में फ़िशिंग ईमेल के मसौदे भी मिले. ये अक्सर क्रिप्टोकरेंसी पर केंद्रित थे और इन्हें सरकारी या वित्तीय सेवा प्रदाताओं के संदेशों जैसा दिखने के लिए तैयार किया गया था.

इसके अलावा, संचालकों ने pCloud, file.io जैसी क्लाउड-भंडारण सेवाओं, GDrive के सीधे लिंक बनाने और एपीआई स्क्रिप्टिंग के साथ-साथ GitHub की कच्ची सामग्री प्राप्त करने और टोकन संभालने जैसी सुविधाओं पर प्रयोग किए. हमें ऐसा कोई प्रमाण नहीं मिला कि Trellix द्वारा वर्णित अभियानों में प्रयुक्त दुर्भावनापूर्ण बाइनरी हमारे मॉडलों से बनाई गई थीं. संभव है कि वही संचालक डेवलपर और क्लाउड मंचों के माध्यम से पेलोड तैयार करते समय हमारे मॉडलों का उपयोग कर रहे थे.

हमलावरों ने मॉडलों से ऐसी प्रतिक्रियाएं तैयार कराईं, जो कई परिचालन क्षेत्रों में सहायता के लिए बनाई गई थीं. इनमें ये शामिल हैं:

• इम्प्लांट और आरएटी से संबंधित विकास: रिफ़्लेक्टिव DLL लोडिंग, मेमोरी में निष्पादन और Windows एपीआई हुकिंग तकनीकों की पड़ताल.

• क्रेडेंशियल चुराने की प्रक्रियाएं: Chrome और Edge की DPAPI कार्यप्रणालियों का उपयोग करके ब्राउज़र की एन्क्रिप्शन कुंजियां, कुकी और सहेजे गए पासवर्ड निकालने वाली स्क्रिप्ट बनाना, संशोधित करना और उनकी त्रुटियां दूर करना.

• फ़िशिंग और प्रलोभन: ऐसी सामग्री के मसौदे तैयार करना जो कोरियाई भाषा की फ़िशिंग सामग्री प्रतीत होती थी और अक्सर क्रिप्टोकरेंसी, सरकारी संस्थानों या वित्तीय सेवा प्रदाताओं पर केंद्रित थी. विश्वसनीय दिखने वाले लॉगिन पृष्ठ बनाने के लिए HTML को अस्पष्ट करने और reCAPTCHA को प्रॉक्सी करने के प्रयोग भी किए गए.

• macOS विकास की आधारभूत संरचना: Finder और Safari एक्सटेंशन विकसित करने तथा App Store की एक नमूना प्राइवेसी पॉलिसी तैयार करने से संबंधित अनुरोध.

• क्रिप्टोकरेंसी संबंधी गतिविधियां: एपीआई कॉल और वॉलेट की परस्पर क्रियाओं में आने वाली समस्याएं दूर करना.

इनमें से कई अनुरोध दोहरे उपयोग वाली गतिविधियों के अस्पष्ट दायरे में आते थे. इनका उपयोग सॉफ़्टवेयर की त्रुटियां दूर करने, क्रिप्टोग्राफ़ी या ब्राउज़र विकसित करने जैसे पूरी तरह वैध कामों में हो सकता है, लेकिन किसी हमलावर द्वारा दूसरे उद्देश्य से इस्तेमाल किए जाने पर इनका महत्व बदल जाता है.

हमने इस अभियान से जुड़े सभी खाते निष्क्रिय कर दिए और संबंधित संकेतक अपने साझेदारों के साथ साझा किए. हमें ऐसा कोई प्रमाण नहीं मिला कि मॉडलों तक पहुंच से सार्वजनिक रूप से पहले से उपलब्ध क्षमताओं के अलावा कोई नई क्षमता हासिल हुई.