Kibernetinė operacija: pagalba kuriant kenkėjišką programinę įrangą korėjiečių kalba

Ši atvejo analizė pirmą kartą paskelbta OpenAI 2025 m. spalio⁠(atsidaro naujame lange) ataskaitoje.

Aptikome ir užblokavome grupę ChatGPT paskyrų, kurių valdytojai bendravo korėjiečių kalba ir mėgino naudoti mūsų modelius kenkėjiškai programinei įrangai bei valdymo ir kontrolės (C2) priemonėms kurti. Mūsų tyrime nustatyti požymiai sutampa su „Trellix“ ataskaita, kurioje panaši veikla susieta su tikslinio duomenų viliojimo kampanijomis prieš Pietų Korėjos diplomatines atstovybes, kenkėjiškos programos „XenoRAT“ diegimu ir „GitHub“ saugyklų naudojimu C2 infrastruktūrai.

Nors sutapimai su „Trellix“ ataskaita, įskaitant korėjiečių kalbos vartojimą, UTC+8 ir UTC+9 laiko juostas atitinkantį aktyvumą, taip pat veiklos pobūdį ir temas, dera su saugumo bendruomenės turimomis žiniomis apie Šiaurės Korėjos (KLDR) veikėjus, negalime savarankiškai nustatyti, kas vykdė šią veiklą. Be to, prieigą prie savo paslaugų iš Šiaurės Korėjos blokuojame.

Su mūsų modeliais per šias paskyras daugiausia bendrauta korėjiečių kalba. Veikla buvo struktūruota, o daugelis paskyrų būdavo aktyvios tik trumpais laikotarpiais. Atrodo, kad kiekviena paskyra buvo skirta konkrečiai užduočiai, pavyzdžiui, „Chrome“ plėtiniams pritaikyti „Safari“ ir paskelbti „Apple App Store“, „Windows Server“ VPN konfigūruoti arba „macOS Finder“ plėtiniams kurti, o ne kelioms techninėms sritims aprėpti.

Stebėjome sąveikas su mūsų modeliais tokiomis temomis kaip „Windows“ API funkcijų perėmimas, prieigos prie naršyklės prisijungimo duomenų ir slapukų procesai (DPAPI) bei tikras sistemas imituojantys patvirtinimo puslapiai, pavyzdžiui, „reCAPTCHA“ kopijos. Taip pat aptikome korėjiečių kalba parengtų duomenų viliojimo laiškų juodraščių. Juose dažnai minėtos kriptovaliutos, o patys laiškai kurti taip, kad atrodytų kaip valdžios institucijų ar finansinių paslaugų teikėjų pranešimai.

Be to, veikėjai eksperimentavo su debesijos saugyklų paslaugomis, tokiomis kaip „pCloud“, „file.io“ ir „GDrive“, tiesioginių nuorodų kūrimu bei API scenarijais, taip pat „GitHub“ funkcijomis, pavyzdžiui, neapdoroto turinio gavimu ir žetonų tvarkymu. Neradome įrodymų, kad „Trellix“ aprašytose kampanijose naudoti kenkėjiški vykdomieji failai būtų sukurti naudojant mūsų modelius. Gali būti, kad tie patys valdytojai naudojo mūsų modelius ir kartu rengė kenkėjiškus komponentus kūrėjų bei debesijos platformose.

Grėsmės veikėjai generavo modelių atsakymus, skirtus kelioms veiklos sritims, įskaitant:

• Implantų ir su RAT susijusių priemonių kūrimą: nagrinėtas refleksinis DLL įkėlimas, vykdymas atmintyje ir „Windows“ API funkcijų perėmimo metodai.

• Prisijungimo duomenų vagystės procedūras: generuoti, keisti ir derinti scenarijai, skirti naršyklių šifravimo raktams, slapukams ir išsaugotiems slaptažodžiams išgauti naudojant „Chrome“ ir „Edge“ DPAPI procesus.

• Duomenų viliojimą ir jaukus: rengtas korėjietiškas turinys, panašus į duomenų viliojimo medžiagą, dažnai susijęs su kriptovaliutomis, valdžios institucijomis ar finansinių paslaugų teikėjais; taip pat eksperimentuota su HTML maskavimu ir „reCAPTCHA“ srauto nukreipimu per tarpinį serverį, siekiant sukurti įtikinamus prisijungimo puslapius.

• Pradinę „macOS“ kūrimo struktūrą: teiktos užklausos apie „Finder“ bei „Safari“ plėtinių kūrimą ir pavyzdinės „App Store“ privatumo politikos generavimą.

• Operacijas su kriptovaliutomis: šalintos API iškvietimų ir sąveikos su piniginėmis triktys.

Daugelis šių užklausų pateko į dvejopos paskirties veiklos pilkąją zoną. Jos gali būti susijusios su visiškai teisėta veikla, pavyzdžiui, programinės įrangos derinimu, kriptografija ar naršyklių kūrimu, tačiau įgyja kitą reikšmę, kai grėsmės veikėjas jas pritaiko žalingiems tikslams.

Išjungėme visas su šia operacija susijusias paskyras ir pasidalijome aktualiais požymiais su partneriais. Neradome įrodymų, kad prieiga prie modelių būtų suteikusi naujų, viešai dar neprieinamų galimybių.