ಸೈಬರ್ ಕಾರ್ಯಾಚರಣೆ: ಕೊರಿಯನ್ ಭಾಷೆಯ ಮಾಲ್‌ವೇರ್‌ಗೆ ಬೆಂಬಲ

ಈ ಪ್ರಕರಣ ಅಧ್ಯಯನವನ್ನು ಮೂಲತಃ OpenAIಯ ಅಕ್ಟೋಬರ್ 2025⁠(ಹೊಸ ಕಿಟಕಿಯಲ್ಲಿ ತೆರೆಯುತ್ತದೆ) ವರದಿಯಲ್ಲಿ ಪ್ರಕಟಿಸಲಾಗಿತ್ತು.

ಕೊರಿಯನ್ ಭಾಷೆಯಲ್ಲಿ ಕಾರ್ಯನಿರ್ವಹಿಸುತ್ತಿದ್ದವರು ಮಾಲ್‌ವೇರ್ ಹಾಗೂ ಆದೇಶ ಮತ್ತು ನಿಯಂತ್ರಣ (C2) ವ್ಯವಸ್ಥೆಗಳನ್ನು ಅಭಿವೃದ್ಧಿಪಡಿಸಲು ನಮ್ಮ ಮಾಡೆಲ್‌ಗಳನ್ನು ಬಳಸಲು ಪ್ರಯತ್ನಿಸಿದ ChatGPT ಖಾತೆಗಳ ಗುಂಪನ್ನು ನಾವು ಗುರುತಿಸಿ ನಿಷೇಧಿಸಿದೆವು. ನಮ್ಮ ಪ್ರಕರಣ ತನಿಖೆಯಲ್ಲಿ ಕಂಡ ಸೂಚಕಗಳು Trellix ವರದಿಯಲ್ಲಿರುವ ಮಾಹಿತಿಯೊಂದಿಗೆ ಹೋಲುತ್ತವೆ. ಆ ವರದಿಯು ಇದೇ ರೀತಿಯ ಚಟುವಟಿಕೆಯನ್ನು ದಕ್ಷಿಣ ಕೊರಿಯಾದ ರಾಜತಾಂತ್ರಿಕ ಕಚೇರಿಗಳ ವಿರುದ್ಧದ ಉದ್ದೇಶಿತ ಫಿಶಿಂಗ್ ಅಭಿಯಾನಗಳು, XenoRAT ಮಾಲ್‌ವೇರ್ ನಿಯೋಜನೆ ಮತ್ತು C2ಗಾಗಿ GitHub ಆಧಾರಿತ ರೆಪೊಸಿಟರಿಗಳ ಬಳಕೆಯೊಂದಿಗೆ ಸಂಬಂಧಿಸಿದೆ.

ಕೊರಿಯನ್ ಭಾಷೆಯ ಬಳಕೆ, UTC+8 ಮತ್ತು UTC+9 ಕಾಲವಲಯಗಳಿಗೆ ಹೊಂದುವ ಚಟುವಟಿಕೆ ಹಾಗೂ ಕಾರ್ಯಾಚರಣೆಯ ವಿಷಯಗಳು ಸೇರಿದಂತೆ Trellix ವರದಿಯೊಂದಿಗಿನ ಸಾಮ್ಯಗಳು, ಉತ್ತರ ಕೊರಿಯಾದ (DPRK) ಘಟಕಗಳ ಕುರಿತು ಭದ್ರತಾ ಸಮುದಾಯದ ತಿಳಿವಳಿಕೆಗೆ ಹೊಂದಿಕೆಯಾಗುತ್ತವೆ. ಆದರೂ, ಇದಕ್ಕೆ ಯಾರು ಹೊಣೆ ಎಂಬುದನ್ನು ನಾವು ಸ್ವತಂತ್ರವಾಗಿ ನಿರ್ಧರಿಸಲು ಸಾಧ್ಯವಿಲ್ಲ. ಉತ್ತರ ಕೊರಿಯಾದಿಂದ ನಮ್ಮ ಸೇವೆಗಳಿಗೆ ಪ್ರವೇಶವನ್ನೂ ನಾವು ನಿರ್ಬಂಧಿಸುತ್ತೇವೆ.

ಈ ಖಾತೆಗಳು ನಮ್ಮ ಮಾಡೆಲ್‌ಗಳೊಂದಿಗೆ ಮುಖ್ಯವಾಗಿ ಕೊರಿಯನ್ ಭಾಷೆಯಲ್ಲಿ ಸಂವಹನ ನಡೆಸಿದವು. ಹಲವು ಖಾತೆಗಳು ಅಲ್ಪ ಕಾಲಾವಧಿಯಲ್ಲೇ ಸಕ್ರಿಯವಾಗಿದ್ದ ವ್ಯವಸ್ಥಿತ ಕಾರ್ಯಪ್ರವಾಹಗಳು ಕಂಡುಬಂದವು. ಪ್ರತಿಯೊಂದು ಖಾತೆಯೂ ಹಲವು ತಾಂತ್ರಿಕ ಕ್ಷೇತ್ರಗಳಲ್ಲಿ ಕಾರ್ಯನಿರ್ವಹಿಸುವ ಬದಲು ನಿರ್ದಿಷ್ಟ ಬಳಕೆಯೊಂದರ ಮೇಲೆ ಗಮನಹರಿಸಿದಂತೆ ತೋರುತ್ತದೆ. ಉದಾಹರಣೆಗೆ, Apple App Storeನಲ್ಲಿ ಪ್ರಕಟಿಸಲು Chrome ವಿಸ್ತರಣೆಗಳನ್ನು Safariಗೆ ಪರಿವರ್ತಿಸುವುದು, Windows Server VPNಗಳನ್ನು ಸಂರಚಿಸುವುದು ಅಥವಾ macOS Finder ವಿಸ್ತರಣೆಗಳನ್ನು ಅಭಿವೃದ್ಧಿಪಡಿಸುವುದು.

Windows API ಹೂಕಿಂಗ್, ಬ್ರೌಸರ್ ರುಜುವಾತುಗಳು ಮತ್ತು ಕುಕಿಗಳನ್ನು ಪ್ರವೇಶಿಸುವ ಕಾರ್ಯಪ್ರವಾಹಗಳು (DPAPI), ಹಾಗೆಯೇ reCAPTCHA ನಕಲುಗಳಂತಹ ಅಸಲಿ ಪುಟಗಳನ್ನು ಹೋಲುವ ಪರಿಶೀಲನಾ ಪುಟಗಳ ಕುರಿತು ನಮ್ಮ ಮಾಡೆಲ್‌ಗಳೊಂದಿಗೆ ನಡೆಸಿದ ಸಂವಹನಗಳನ್ನು ನಾವು ಗಮನಿಸಿದೆವು. ಕೊರಿಯನ್ ಭಾಷೆಯ ಕರಡು ಫಿಶಿಂಗ್ ಇಮೇಲ್‌ಗಳನ್ನೂ ನಾವು ಕಂಡೆವು. ಅವು ಸಾಮಾನ್ಯವಾಗಿ ಕ್ರಿಪ್ಟೋಕರೆನ್ಸಿಗೆ ಸಂಬಂಧಿಸಿದ್ದವು ಮತ್ತು ಸರ್ಕಾರಿ ಅಥವಾ ಹಣಕಾಸು ಸೇವಾ ಪೂರೈಕೆದಾರರ ಸಂದೇಶಗಳಂತೆ ಕಾಣುವಂತೆ ರೂಪಿಸಲಾಗಿತ್ತು.

ಇದಲ್ಲದೆ, ಈ ಘಟಕಗಳು pCloud, file.io ಮುಂತಾದ ಮೇಘ ಸಂಗ್ರಹಣಾ ಸೇವೆಗಳು, GDrive ನೇರ ಕೊಂಡಿಗಳ ರಚನೆ ಮತ್ತು API ಸ್ಕ್ರಿಪ್ಟಿಂಗ್, ಹಾಗೆಯೇ ಕಚ್ಚಾ ವಿಷಯವನ್ನು ಪಡೆಯುವುದು ಮತ್ತು ಟೋಕನ್ ನಿರ್ವಹಣೆಯಂತಹ GitHub ಕಾರ್ಯಗಳನ್ನು ಪ್ರಯೋಗಿಸಿದವು. Trellix ವಿವರಿಸಿದ ಅಭಿಯಾನಗಳಲ್ಲಿ ಬಳಸಿದ ದುರುದ್ದೇಶಪೂರಿತ ಬೈನರಿಗಳನ್ನು ನಮ್ಮ ಮಾಡೆಲ್‌ಗಳ ಮೂಲಕ ರಚಿಸಲಾಗಿದೆ ಎಂಬುದಕ್ಕೆ ನಮಗೆ ಯಾವುದೇ ಪುರಾವೆ ಸಿಗಲಿಲ್ಲ. ಅದೇ ಕಾರ್ಯನಿರ್ವಾಹಕರು ಡೆವಲಪರ್ ಮತ್ತು ಮೇಘ ವೇದಿಕೆಗಳ ಮೂಲಕ ಪೇಲೋಡ್‌ಗಳನ್ನು ಸಿದ್ಧಪಡಿಸುವಾಗ ನಮ್ಮ ಮಾಡೆಲ್‌ಗಳನ್ನು ಬಳಸುತ್ತಿದ್ದಿರಬಹುದು.

ಬೆದರಿಕೆ ಘಟಕಗಳು ಹಲವು ಕಾರ್ಯಾಚರಣಾ ಕ್ಷೇತ್ರಗಳಿಗೆ ನೆರವಾಗುವಂತೆ ಮಾಡೆಲ್ ಫಲಿತಾಂಶಗಳನ್ನು ರಚಿಸಿದವು. ಅವುಗಳಲ್ಲಿ ಇವು ಸೇರಿವೆ:

• ಇಂಪ್ಲಾಂಟ್ ಮತ್ತು RAT-ಸಂಬಂಧಿತ ಅಭಿವೃದ್ಧಿ: ಪ್ರತಿಬಿಂಬಿತ DLL ಲೋಡಿಂಗ್, ಮೆಮೊರಿಯೊಳಗಿನ ಕಾರ್ಯಗತಗೊಳಿಸುವಿಕೆ ಮತ್ತು Windows API ಹೂಕಿಂಗ್ ತಂತ್ರಗಳ ಪರಿಶೀಲನೆ.

• ರುಜುವಾತು ಕಳವು ಕ್ರಮಗಳು: Chrome / Edge DPAPI ಕಾರ್ಯಪ್ರವಾಹಗಳನ್ನು ಬಳಸಿ ಬ್ರೌಸರ್ ಗೂಢಲಿಪೀಕರಣ ಕೀಲಿಗಳು, ಕುಕಿಗಳು ಮತ್ತು ಉಳಿಸಿದ ಗುಪ್ತಪದಗಳನ್ನು ಹೊರತೆಗೆಯುವ ಸ್ಕ್ರಿಪ್ಟ್‌ಗಳನ್ನು ರಚಿಸುವುದು, ಮಾರ್ಪಡಿಸುವುದು ಮತ್ತು ದೋಷನಿವಾರಿಸುವುದು.

• ಫಿಶಿಂಗ್ ಮತ್ತು ಆಮಿಷಗಳು: ಸಾಮಾನ್ಯವಾಗಿ ಕ್ರಿಪ್ಟೋಕರೆನ್ಸಿ, ಸರ್ಕಾರಿ ಸಂಸ್ಥೆಗಳು ಅಥವಾ ಹಣಕಾಸು ಸೇವಾ ಪೂರೈಕೆದಾರರಿಗೆ ಸಂಬಂಧಿಸಿದಂತೆ ಕಂಡ ಕೊರಿಯನ್ ಭಾಷೆಯ ಫಿಶಿಂಗ್ ವಿಷಯವನ್ನು ಕರಡು ರೂಪಿಸುವುದು. ನಂಬಲರ್ಹ ಪ್ರವೇಶ ಪುಟಗಳನ್ನು ಸೃಷ್ಟಿಸಲು HTML ಮರೆಮಾಚುವಿಕೆ ಮತ್ತು reCAPTCHA ಪ್ರಾಕ್ಸಿ ಬಳಕೆಯನ್ನು ಪ್ರಯೋಗಿಸುವುದು.

• macOS ಅಭಿವೃದ್ಧಿಯ ಮೂಲ ಚೌಕಟ್ಟು: Finder ಮತ್ತು Safari ವಿಸ್ತರಣೆಗಳ ಅಭಿವೃದ್ಧಿಗೆ ಸಂಬಂಧಿಸಿದ ವಿನಂತಿಗಳು ಹಾಗೂ App Storeಗಾಗಿ ಮಾದರಿ ಪ್ರೈವಸಿ ಪಾಲಿಸಿಯ ರಚನೆ.

• ಕ್ರಿಪ್ಟೋಕರೆನ್ಸಿ ಕಾರ್ಯಾಚರಣೆಗಳು: API ಕರೆಗಳು ಮತ್ತು ವಾಲೆಟ್ ಸಂವಹನಗಳ ದೋಷನಿವಾರಣೆ.

ಈ ವಿನಂತಿಗಳಲ್ಲಿ ಹಲವು ದ್ವಿಬಳಕೆಯ ಚಟುವಟಿಕೆಯ ಅಸ್ಪಷ್ಟ ವಲಯಕ್ಕೆ ಸೇರಿದ್ದವು. ಇವು ತಂತ್ರಾಂಶದ ದೋಷನಿವಾರಣೆ, ಗೂಢಲಿಪಿಶಾಸ್ತ್ರ ಅಥವಾ ಬ್ರೌಸರ್ ಅಭಿವೃದ್ಧಿಯಂತಹ ಸಂಪೂರ್ಣ ಕಾನೂನುಬದ್ಧ ಅನ್ವಯಗಳನ್ನು ಒಳಗೊಂಡಿರಬಹುದು. ಆದರೆ ಬೆದರಿಕೆ ಘಟಕವು ಅವುಗಳನ್ನು ಬೇರೆ ಉದ್ದೇಶಕ್ಕೆ ಬಳಸಿದಾಗ ಅವುಗಳ ಮಹತ್ವ ಬದಲಾಗುತ್ತದೆ.

ಈ ಕಾರ್ಯಾಚರಣೆಗೆ ಸಂಬಂಧಿಸಿದ ಎಲ್ಲ ಖಾತೆಗಳನ್ನು ನಾವು ನಿಷ್ಕ್ರಿಯಗೊಳಿಸಿ, ಸಂಬಂಧಿತ ಸೂಚಕಗಳನ್ನು ಪಾಲುದಾರರೊಂದಿಗೆ ಹಂಚಿಕೊಂಡೆವು. ಸಾರ್ವಜನಿಕವಾಗಿ ಈಗಾಗಲೇ ಲಭ್ಯವಿರುವ ಸಾಮರ್ಥ್ಯಗಳನ್ನು ಮೀರಿದ ಹೊಸ ಸಾಮರ್ಥ್ಯಗಳನ್ನು ಮಾಡೆಲ್ ಪ್ರವೇಶವು ಒದಗಿಸಿದೆ ಎಂಬುದಕ್ಕೆ ನಮಗೆ ಯಾವುದೇ ಪುರಾವೆ ಸಿಗಲಿಲ್ಲ.