Сајбер-операција: Поддршка на корејски јазик за злонамерен софтвер

Оваа студија на случај првично беше објавена во извештајот на OpenAI за октомври 2025 година⁠(се отвора во нов прозорец).

Идентификувавме и забранивме група сметки на ChatGPT чии оператори, кои комуницираа на корејски јазик, се обидоа да ги користат нашите модели за развој на злонамерен софтвер и системи за командување и контрола (C2). Показателите што ги забележавме во нашата истрага се преклопуваат со извештај на Trellix, кој поврзува слични активности со кампањи за насочен фишинг против јужнокорејски дипломатски мисии, распоредување на злонамерниот софтвер XenoRAT и користење складишта на GitHub за C2.

Иако совпаѓањата со извештајот на Trellix — меѓу кои употребата на корејскиот јазик, активностите усогласени со временските зони UTC+8 и UTC+9, како и оперативните теми — одговараат на сознанијата на безбедносната заедница за севернокорејските актери (КНДР), не можеме независно да утврдиме кој стои зад активностите. Исто така, го блокираме пристапот до нашите услуги од Северна Кореја.

Сметките комуницираа со нашите модели претежно на корејски јазик и покажуваа структурирани работни процеси, при што многу од нив беа активни во кратки временски интервали. Се чини дека секоја од овие сметки била насочена кон конкретна намена — на пример, конвертирање екстензии за Chrome во екстензии за Safari за објавување во Apple App Store, конфигурирање VPN-мрежи на Windows Server или развивање екстензии за macOS Finder — наместо една сметка да опфаќа повеќе технички области.

Забележавме интеракции со нашите модели поврзани со пресретнување повици кон Windows API, работни процеси за пристап до податоци за најава и колачиња од прелистувачите (DPAPI), како и имитации на страници за потврда, на пример клонови на reCAPTCHA. Забележавме и нацрти на фишинг-пораки на корејски јазик, често тематски поврзани со криптовалути и осмислени да изгледаат како пораки од владини институции или даватели на финансиски услуги.

Покрај тоа, актерите експериментираа со услуги за складирање во облак, како pCloud и file.io, со создавање директни врски за GDrive и скриптирање преку API, како и со функции на GitHub, меѓу кои преземање необработена содржина и ракување со токени. Не најдовме докази дека злонамерните бинарни датотеки користени во кампањите опишани од Trellix биле генерирани со нашите модели. Можно е истите оператори да ги користеле нашите модели додека ги подготвувале злонамерните компоненти преку програмерски платформи и платформи во облак.

Актерите што претставуваат закана генерираа резултати од моделот наменети да поддржат повеќе оперативни области, меѓу кои:

• Развој на импланти и алатки сродни на RAT: истражување на рефлективно вчитување DLL-датотеки, извршување во меморијата и техники за пресретнување на Windows API.

• Постапки за кражба на податоци за најава: генерирање, менување и отстранување грешки од скрипти за извлекување клучеви за шифрирање на прелистувачите, колачиња и зачувани лозинки преку работните процеси DPAPI на Chrome / Edge.

• Фишинг и мамки: изработување содржини што изгледаа како фишинг на корејски јазик, често поврзани со криптовалути, владини институции или даватели на финансиски услуги; експериментирање со прикривање HTML-код и посредување до reCAPTCHA за уверливи страници за најава.

• Почетна структура за развој на macOS: барања поврзани со развој на екстензии за Finder и Safari и генерирање пример за политика на приватност за App Store.

• Операции со криптовалути: решавање проблеми со повици до API и интеракции со паричници.

Многу од овие барања спаѓаа во сивата зона на активности со двојна намена. Тие може да имаат целосно легитимна примена, како отстранување грешки од софтвер, криптографија или развој на прелистувачи, но добиваат поинакво значење кога актер што претставува закана ќе ги пренамени.

Ги оневозможивме сите сметки поврзани со оваа операција и ги споделивме релевантните показатели со партнерите. Не најдовме докази дека пристапот до моделот овозможил нови способности надвор од оние што веќе се јавно достапни.