Kiberművelet: kártevőkhöz nyújtott koreai nyelvű támogatás

Ez az esettanulmány eredetileg az OpenAI 2025. októberi⁠(új ablakban nyílik meg) jelentésében jelent meg.

Azonosítottuk és letiltottuk ChatGPT‑fiókok egy csoportját, amelyek koreai nyelven dolgozó üzemeltetői kártevők, valamint parancs- és vezérlési (C2) rendszerek fejlesztéséhez próbálták használni modelljeinket. Az eseteink vizsgálata során megfigyelt indikátorok átfedést mutatnak a Trellix egyik jelentésével, amely hasonló tevékenységet hozott összefüggésbe dél-koreai diplomáciai képviseletek elleni célzott adathalász kampányokkal, a XenoRAT kártevő telepítésével és GitHub-alapú adattárak C2-célú használatával.

A Trellix jelentésével való átfedés – beleértve a koreai nyelv megfigyelt használatát, az UTC+8 és UTC+9 időzónáknak megfelelő aktivitást, valamint a műveleti témákat és tárgyköröket – összhangban áll azzal, amit a biztonsági közösség az észak-koreai (KNDK-beli) szereplőkről tud. Önállóan azonban nem tudjuk nekik tulajdonítani a tevékenységet; emellett Észak-Koreából eleve letiltjuk a szolgáltatásainkhoz való hozzáférést.

A fiókok elsősorban koreai nyelven használták modelljeinket. Strukturált munkafolyamatokat figyeltünk meg, amelyekben sok fiók csak rövid időablakokban volt aktív. Úgy tűnik, mindegyik fiók egy adott felhasználási területre összpontosított – például Chrome-bővítmények Safarihoz és az Apple App Store-ban való közzétételhez történő átalakítására, Windows Server-alapú VPN-ek konfigurálására vagy macOS Finder-bővítmények fejlesztésére –, nem pedig több műszaki területre egyszerre.

A modelljeinkkel folytatott interakciók között Windows API-hookolást, böngészőben tárolt hitelesítő adatokhoz és cookie-khoz hozzáférő munkafolyamatokat (DPAPI), valamint valódi ellenőrző oldalakra hasonlító felületeket, például reCAPTCHA-klónokat figyeltünk meg. Koreai nyelvű adathalász e-mail-vázlatokat is láttunk, amelyek gyakran kriptovalutákról szóltak, és kormányzati vagy pénzügyi szolgáltatóktól érkező üzeneteknek próbáltak látszani.

A szereplők emellett felhőalapú tárhelyszolgáltatásokkal – például a pClouddal és a file.io-val –, közvetlen GDrive-linkek létrehozásával és API-szkriptekkel, továbbá olyan GitHub-funkciókkal kísérleteztek, mint a nyers tartalom lekérése és a tokenek kezelése. Nem találtunk bizonyítékot arra, hogy a Trellix által ismertetett kampányokban használt rosszindulatú binárisokat a modelljeinkkel hozták volna létre. Lehetséges, hogy ugyanazok az üzemeltetők használták modelljeinket, miközben fejlesztői és felhőplatformokon készítették elő a hasznos terheket.

A fenyegetési szereplők több műveleti terület támogatására szolgáló modellkimeneteket hoztak létre, többek között a következőkhöz:

• Implantátumokhoz és RAT-okhoz kapcsolódó fejlesztés: reflektív DLL-betöltés, memórián belüli végrehajtás és Windows API-hookolási technikák vizsgálata.

• Hitelesítőadat-lopási rutinok: a böngészők titkosítási kulcsainak, cookie-jainak és mentett jelszavainak Chrome- és Edge-alapú DPAPI-munkafolyamatokkal történő kinyerésére szolgáló szkriptek létrehozása, módosítása és hibakeresése.

• Adathalászat és csalik: látszólag koreai nyelvű, gyakran kriptovalutákra, kormányzati intézményekre vagy pénzügyi szolgáltatókra épülő adathalász tartalmak megfogalmazása; kísérletezés HTML-kód elrejtésével és a reCAPTCHA proxyzásával, hogy meggyőző bejelentkezési oldalakat hozzanak létre.

• macOS-fejlesztési alapok: Finder- és Safari-bővítmények fejlesztésével, valamint az App Store-hoz készült minta-adatvédelmi irányelvek létrehozásával kapcsolatos kérések.

• Kriptovaluta-műveletek: API-hívások és tárcainterakciók hibáinak elhárítása.

E kérések közül sok a kettős felhasználású tevékenységek szürke zónájába esett. Ezeknek teljesen jogszerű alkalmazásai is lehetnek, például a szoftveres hibakeresés, a kriptográfia vagy a böngészőfejlesztés, de más jelentőséget kapnak, ha egy fenyegetési szereplő saját céljaira használja fel őket.

Letiltottuk a művelethez kapcsolódó összes fiókot, a releváns indikátorokat pedig megosztottuk partnereinkkel. Nem találtunk bizonyítékot arra, hogy a modellekhez való hozzáférés a már nyilvánosan elérhető lehetőségeken túl új képességeket biztosított volna.