Kibernetička operacija: podrška razvoju zlonamjernog softvera na korejskom jeziku

Ova studija slučaja izvorno je objavljena u OpenAI-jevu izvješću za listopad 2025.⁠(otvara se u novom prozoru)

Otkrili smo i blokirali skupinu ChatGPT računa čiji su operateri, služeći se korejskim jezikom, pokušali upotrijebiti naše modele za razvoj zlonamjernog softvera te infrastrukture za upravljanje i nadzor (C2). Pokazatelji koje smo uočili tijekom istrage preklapaju se s izvješćem tvrtke Trellix, koje je slične aktivnosti povezalo s kampanjama ciljanog krađe identiteta usmjerenima na južnokorejska diplomatska predstavništva, implementacijom zlonamjernog softvera XenoRAT i upotrebom repozitorija na GitHubu za C2.

Preklapanje s nalazima tvrtke Trellix, uključujući uočenu upotrebu korejskog jezika, aktivnosti koje odgovaraju vremenskim zonama UTC+8 i UTC+9 te operativne teme i sadržaje, u skladu je sa spoznajama sigurnosne zajednice o akterima iz Sjeverne Koreje (DPRK). Ipak, ne možemo neovisno utvrditi tko stoji iza tih aktivnosti, a pristup našim uslugama iz Sjeverne Koreje također je blokiran.

Interakcije tih računa s našim modelima odvijale su se uglavnom na korejskom jeziku i pokazivale su strukturirane tijekove rada, pri čemu su brojni računi bili aktivni u uskim vremenskim razdobljima. Čini se da je svaki račun bio usmjeren na određenu namjenu, primjerice pretvaranje proširenja za Chrome u proširenja za Safari radi objave u trgovini Apple App Store, konfiguriranje VPN-ova na sustavu Windows Server ili razvoj proširenja za Finder u sustavu macOS, umjesto da je obuhvaćao više tehničkih područja.

Uočili smo interakcije s našim modelima povezane s tehnikama kao što su presretanje poziva Windows API-ja, tijekovi rada za pristup vjerodajnicama i kolačićima preglednika (DPAPI) te imitacije stranica za provjeru, poput klonova sustava reCAPTCHA. Vidjeli smo i nacrte poruka e-pošte za krađu identiteta na korejskom jeziku, često povezane s kriptovalutama i oblikovane tako da izgledaju kao poruke državnih tijela ili pružatelja financijskih usluga.

Akteri su uz to eksperimentirali s uslugama pohrane u oblaku kao što su pCloud i file.io, izradom izravnih poveznica za GDrive i API skripti te funkcijama GitHuba kao što su dohvaćanje neobrađenog sadržaja i rukovanje tokenima. Nismo pronašli dokaze da su zlonamjerne binarne datoteke upotrijebljene u kampanjama koje je opisao Trellix izrađene s pomoću naših modela. Moguće je da su isti operateri upotrebljavali naše modele dok su putem razvojnih platformi i platformi u oblaku pripremali zlonamjerne sadržaje.

Akteri prijetnji generirali su odgovore modela namijenjene podršci u više operativnih područja, uključujući:

• Razvoj implantata i alata srodnih RAT-u: istraživanje refleksivnog učitavanja DLL-ova, izvršavanja u memoriji i tehnika presretanja poziva Windows API-ja.

• Rutine za krađu vjerodajnica: izrada, izmjena i otklanjanje pogrešaka u skriptama za izdvajanje ključeva za šifriranje preglednika, kolačića i spremljenih lozinki putem DPAPI tijekova rada u preglednicima Chrome i Edge.

• Krađa identiteta i mamci: izrada sadržaja na korejskom jeziku koji je izgledao namijenjen krađi identiteta, često povezanog s kriptovalutama, državnim institucijama ili pružateljima financijskih usluga; eksperimentiranje s prikrivanjem HTML-a i prosljeđivanjem sustava reCAPTCHA putem proxyja radi izrade uvjerljivih stranica za prijavu.

• Početni razvojni okviri za macOS: zahtjevi povezani s razvojem proširenja za Finder i Safari te izradom primjera pravilnika o zaštiti privatnosti za App Store.

• Operacije s kriptovalutama: otklanjanje poteškoća s API pozivima i interakcijama s novčanicima.

Mnogi od tih zahtjeva pripadali su sivoj zoni aktivnosti dvojne namjene. Takve aktivnosti mogu imati posve legitimne primjene, kao što su otklanjanje pogrešaka u softveru, kriptografija ili razvoj preglednika, ali poprimaju drukčije značenje kada ih akter prijetnje prenamijeni.

Onemogućili smo sve račune povezane s ovom operacijom i podijelili relevantne pokazatelje s partnerima. Nismo pronašli dokaze da je pristup modelima omogućio nove sposobnosti povrh onoga što je već javno dostupno.