사이버 작전: 한국어 기반 멀웨어 지원

이 사례 연구는 원래 OpenAI의 2025년 10월⁠(새 창에서 열기) 보고서에 게재되었습니다.

한국어를 사용하는 운영자들이 멀웨어 및 명령·제어(C2) 개발에 OpenAI 모델을 활용하려 한 ChatGPT 계정군을 식별해 차단했습니다. 이번 조사에서 관찰한 지표는 유사한 활동을 한국 외교 공관을 겨냥한 스피어 피싱 캠페인, XenoRAT 멀웨어 배포, C2용 GitHub 저장소 사용과 연관 지은 Trellix 보고서의 내용과 겹칩니다.

한국어 사용, UTC+8 및 UTC+9 시간대와 일치하는 활동, 작전의 주제와 소재 등 Trellix 보고서와 겹치는 부분은 북한(DPRK) 행위자에 대한 보안 커뮤니티의 인식과 부합합니다. 하지만 OpenAI가 이를 독립적으로 특정할 수는 없으며, 북한에서는 OpenAI 서비스에 접근할 수 없도록 차단하고 있습니다.

이 계정들은 주로 한국어로 OpenAI 모델과 상호작용했으며, 여러 계정이 짧은 시간대에 집중적으로 활동하는 체계적인 작업 흐름을 보였습니다. 각 계정은 여러 기술 영역을 아우르기보다 특정 용도에 집중한 것으로 보입니다. 예를 들어 Apple App Store 게시를 위해 Chrome 확장 프로그램을 Safari용으로 변환하거나, Windows Server VPN을 구성하거나, macOS Finder 확장 프로그램을 개발했습니다.

Windows API 후킹, 브라우저 자격 증명 및 쿠키 접근 작업 흐름(DPAPI), reCAPTCHA 복제본과 같은 모방형 인증 페이지 등에 관해 OpenAI 모델과 상호작용한 사례도 관찰했습니다. 또한 암호화폐를 주제로 삼고 정부 기관이나 금융 서비스 제공업체가 보낸 메시지처럼 꾸민 한국어 피싱 이메일 초안도 확인했습니다.

이 밖에도 행위자들은 pCloud, file.io 같은 클라우드 스토리지 서비스, GDrive 직접 링크 생성 및 API 스크립팅, 원시 콘텐츠 가져오기와 토큰 처리 같은 GitHub 기능을 실험했습니다. Trellix가 설명한 캠페인에 사용된 악성 바이너리가 OpenAI 모델로 생성되었다는 증거는 찾지 못했습니다. 동일한 운영자들이 개발자 플랫폼과 클라우드 플랫폼을 통해 페이로드를 준비하면서 OpenAI 모델을 사용했을 가능성은 있습니다.

위협 행위자들은 다음을 비롯한 여러 작전 영역을 지원하도록 설계된 모델 출력을 생성했습니다.

• 임플란트 및 RAT 관련 개발: 반사형 DLL 로딩, 메모리 내 실행, Windows API 후킹 기법 탐색.

• 자격 증명 탈취 루틴: Chrome/Edge DPAPI 작업 흐름을 사용해 브라우저 암호화 키, 쿠키, 저장된 비밀번호를 추출하는 스크립트의 생성, 수정 및 디버깅.

• 피싱 및 미끼: 암호화폐, 정부 기관 또는 금융 서비스 제공업체를 주제로 한 것으로 보이는 한국어 피싱 콘텐츠 작성, 설득력 있는 로그인 페이지를 만들기 위한 HTML 난독화 및 reCAPTCHA 프록시 실험.

• macOS 개발 기반 구축: Finder 및 Safari 확장 프로그램 개발과 App Store용 개인정보 보호 정책 예시 생성에 관한 요청.

• 암호화폐 관련 작업: API 호출 및 지갑 연동 문제 해결.

이러한 요청 중 다수는 이중 용도 활동의 경계 영역에 해당했습니다. 이러한 활동은 소프트웨어 디버깅, 암호화, 브라우저 개발처럼 전적으로 합법적인 용도로 활용될 수 있지만, 위협 행위자가 다른 목적으로 전용하면 그 의미가 달라집니다.

이 작전과 관련된 모든 계정을 비활성화하고 관련 지표를 파트너들과 공유했습니다. 모델 접근을 통해 공개적으로 이미 이용 가능한 수준을 넘어서는 새로운 역량을 확보했다는 증거는 찾지 못했습니다.