സൈബർ പ്രവർത്തനം: കൊറിയൻ ഭാഷയിലുള്ള മാൽവെയർ പിന്തുണ

ഈ കേസ് പഠനം ആദ്യം OpenAI-യുടെ 2025 ഒക്ടോബർ⁠(പുതിയ വിൻഡോയിൽ തുറക്കുന്നു) റിപ്പോർട്ടിലാണ് പ്രസിദ്ധീകരിച്ചത്.

മാൽവെയറും കമാൻഡ്-ആൻഡ്-കൺട്രോൾ (C2) സംവിധാനങ്ങളും വികസിപ്പിക്കാൻ ഞങ്ങളുടെ മോഡലുകൾ ഉപയോഗിക്കാൻ ശ്രമിച്ച കൊറിയൻ ഭാഷക്കാരായ നടത്തിപ്പുകാരുടെ ഒരു കൂട്ടം ChatGPT അക്കൗണ്ടുകൾ ഞങ്ങൾ കണ്ടെത്തി നിരോധിച്ചു. ഞങ്ങളുടെ അന്വേഷണത്തിൽ കണ്ടെത്തിയ സൂചകങ്ങൾ, ദക്ഷിണ കൊറിയൻ നയതന്ത്ര കാര്യാലയങ്ങൾക്കെതിരായ സ്പിയർ ഫിഷിങ് പ്രചാരണങ്ങൾ, XenoRAT മാൽവെയറിന്റെ വിന്യാസം, C2-യ്ക്കായി GitHub അധിഷ്ഠിത റെപ്പോസിറ്ററികളുടെ ഉപയോഗം എന്നിവയുമായി സമാന പ്രവർത്തനങ്ങളെ ബന്ധപ്പെടുത്തിയ Trellix റിപ്പോർട്ടിലെ വിവരങ്ങളുമായി പൊരുത്തപ്പെടുന്നു.

കൊറിയൻ ഭാഷയുടെ ഉപയോഗം, UTC+8, UTC+9 സമയമേഖലകളുമായി പൊരുത്തപ്പെടുന്ന പ്രവർത്തനം, പ്രവർത്തനരീതികളും വിഷയങ്ങളും എന്നിവ ഉൾപ്പെടെ Trellix റിപ്പോർട്ടുമായുള്ള സാമ്യം ഉത്തര കൊറിയൻ (DPRK) പ്രവർത്തകരെക്കുറിച്ചുള്ള സുരക്ഷാ സമൂഹത്തിന്റെ ധാരണയുമായി ഒത്തുപോകുന്നുണ്ടെങ്കിലും, ഇത് ആരാണ് നടത്തിയതെന്ന് സ്വതന്ത്രമായി സ്ഥിരീകരിക്കാൻ ഞങ്ങൾക്ക് കഴിയില്ല. ഉത്തര കൊറിയയിൽനിന്ന് ഞങ്ങളുടെ സേവനങ്ങളിലേക്കുള്ള പ്രവേശനവും ഞങ്ങൾ തടയുന്നുണ്ട്.

ഈ അക്കൗണ്ടുകൾ പ്രധാനമായും കൊറിയൻ ഭാഷയിലാണ് ഞങ്ങളുടെ മോഡലുകളുമായി സംവദിച്ചത്. നിരവധി അക്കൗണ്ടുകൾ ചുരുങ്ങിയ സമയപരിധികളിൽ സജീവമായിരുന്ന, ചിട്ടപ്പെടുത്തിയ പ്രവർത്തനക്രമമാണ് അവയിൽ കണ്ടത്. ഓരോ അക്കൗണ്ടും പല സാങ്കേതിക മേഖലകളിൽ പ്രവർത്തിക്കുന്നതിനുപകരം ഒരു പ്രത്യേക ഉപയോഗത്തിൽ ശ്രദ്ധ കേന്ദ്രീകരിച്ചതായി തോന്നുന്നു. ഉദാഹരണത്തിന്, Apple App Store-ൽ പ്രസിദ്ധീകരിക്കാൻ Chrome വിപുലീകരണങ്ങൾ Safari-യിലേക്ക് മാറ്റുക, Windows Server VPN-കൾ ക്രമീകരിക്കുക, macOS Finder വിപുലീകരണങ്ങൾ വികസിപ്പിക്കുക എന്നിവ.

Windows API ഹുക്കിങ്, ബ്രൗസറിലെ ക്രെഡൻഷ്യലുകളും കുക്കികളും ലഭ്യമാക്കാനുള്ള പ്രവർത്തനക്രമങ്ങൾ (DPAPI), reCAPTCHA അനുകരണങ്ങൾ പോലുള്ള വ്യാജ പരിശോധനാ പേജുകൾ എന്നിവയുമായി ബന്ധപ്പെട്ട ഇടപെടലുകൾ ഞങ്ങളുടെ മോഡലുകളിൽ ഞങ്ങൾ നിരീക്ഷിച്ചു. ക്രിപ്റ്റോകറൻസി പ്രമേയമാക്കിയതും സർക്കാർ സ്ഥാപനങ്ങളിൽനിന്നോ സാമ്പത്തിക സേവനദാതാക്കളിൽനിന്നോ ഉള്ള സന്ദേശങ്ങളായി തോന്നിക്കാൻ രൂപകൽപ്പന ചെയ്തതുമായ കൊറിയൻ ഭാഷയിലുള്ള കരട് ഫിഷിങ് ഇമെയിലുകളും ഞങ്ങൾ കണ്ടു.

കൂടാതെ, പ്രവർത്തകർ pCloud, file.io തുടങ്ങിയ ക്ലൗഡ് സംഭരണ സേവനങ്ങൾ, GDrive നേരിട്ടുള്ള കണ്ണികളുടെ നിർമാണവും API സ്ക്രിപ്റ്റിങ്ങും, അസംസ്കൃത ഉള്ളടക്കം വീണ്ടെടുക്കലും ടോക്കൺ കൈകാര്യം ചെയ്യലും പോലുള്ള GitHub സൗകര്യങ്ങൾ എന്നിവ പരീക്ഷിച്ചു. Trellix വിവരിച്ച പ്രചാരണങ്ങളിൽ ഉപയോഗിച്ച ദോഷകരമായ ബൈനറികൾ ഞങ്ങളുടെ മോഡലുകൾ ഉപയോഗിച്ച് സൃഷ്ടിച്ചതിന് തെളിവൊന്നും ഞങ്ങൾ കണ്ടെത്തിയില്ല. ഡെവലപ്പർ, ക്ലൗഡ് പ്ലാറ്റ്‌ഫോമുകൾ വഴി പേലോഡുകൾ വിന്യാസത്തിനായി ഒരുക്കുന്നതിനിടെ ഇതേ നടത്തിപ്പുകാർ ഞങ്ങളുടെ മോഡലുകൾ ഉപയോഗിച്ചിരിക്കാം.

ഭീഷണി പ്രവർത്തകർ താഴെപ്പറയുന്നവ ഉൾപ്പെടെ നിരവധി പ്രവർത്തന മേഖലകളെ പിന്തുണയ്ക്കാനായി മോഡൽ ഔട്ട്പുട്ടുകൾ സൃഷ്ടിച്ചു.

• ഇംപ്ലാന്റ്, RAT-അനുബന്ധ വികസനം: പ്രതിഫലിത DLL ലോഡിങ്, മെമ്മറിയിൽ നേരിട്ടുള്ള നിർവഹണം, Windows API ഹുക്കിങ് സാങ്കേതികവിദ്യകൾ എന്നിവയുടെ പരീക്ഷണം.

• ക്രെഡൻഷ്യൽ മോഷണ നടപടിക്രമങ്ങൾ: Chrome / Edge DPAPI പ്രവർത്തനക്രമങ്ങൾ ഉപയോഗിച്ച് ബ്രൗസർ എൻക്രിപ്ഷൻ കീകൾ, കുക്കികൾ, സംരക്ഷിച്ച പാസ്‌വേഡുകൾ എന്നിവ വേർതിരിച്ചെടുക്കാനുള്ള സ്ക്രിപ്റ്റുകൾ സൃഷ്ടിക്കുകയും പരിഷ്കരിക്കുകയും പിശകുകൾ കണ്ടെത്തി തിരുത്തുകയും ചെയ്യൽ.

• ഫിഷിങ്ങും പ്രലോഭനങ്ങളും: ക്രിപ്റ്റോകറൻസി, സർക്കാർ സ്ഥാപനങ്ങൾ, സാമ്പത്തിക സേവനദാതാക്കൾ എന്നിവ പ്രമേയമാക്കിയ കൊറിയൻ ഭാഷയിലുള്ള ഫിഷിങ് ഉള്ളടക്കമെന്ന് തോന്നുന്നവ തയ്യാറാക്കൽ; വിശ്വസനീയമായ പ്രവേശന പേജുകൾക്കായി HTML മറയ്ക്കൽ രീതികളും reCAPTCHA പ്രോക്സി ചെയ്യുന്നതും പരീക്ഷിക്കൽ.

• macOS വികസനത്തിനുള്ള അടിസ്ഥാനഘടന: Finder, Safari വിപുലീകരണങ്ങളുടെ വികസനവും ഒരു മാതൃകാ App Store പ്രൈവസി പോളിസി സൃഷ്ടിക്കലും സംബന്ധിച്ച അഭ്യർത്ഥനകൾ.

• ക്രിപ്റ്റോകറൻസി പ്രവർത്തനങ്ങൾ: API കോളുകളിലെയും വാലറ്റ് ഇടപെടലുകളിലെയും പ്രശ്നങ്ങൾ കണ്ടെത്തി പരിഹരിക്കൽ.

ഈ അഭ്യർത്ഥനകളിൽ പലതും ഇരട്ട ഉപയോഗമുള്ള പ്രവർത്തനങ്ങളുടെ അവ്യക്ത മേഖലയിലായിരുന്നു. സോഫ്റ്റ്‌വെയറിലെ പിശകുകൾ കണ്ടെത്തി തിരുത്തൽ, ക്രിപ്റ്റോഗ്രഫി, ബ്രൗസർ വികസനം തുടങ്ങിയ പൂർണമായും നിയമാനുസൃതമായ ഉപയോഗങ്ങൾ ഇവയ്ക്കുണ്ടാകാം. എന്നാൽ ഒരു ഭീഷണി പ്രവർത്തകൻ ഇവ മറ്റൊരു ലക്ഷ്യത്തിനായി ഉപയോഗിക്കുമ്പോൾ അവയുടെ പ്രാധാന്യം മാറുന്നു.

ഈ പ്രവർത്തനവുമായി ബന്ധപ്പെട്ട എല്ലാ അക്കൗണ്ടുകളും ഞങ്ങൾ പ്രവർത്തനരഹിതമാക്കുകയും പ്രസക്തമായ സൂചകങ്ങൾ പങ്കാളികളുമായി പങ്കിടുകയും ചെയ്തു. പൊതുവായി ഇതിനകം ലഭ്യമായവയ്ക്കപ്പുറം പുതിയ ശേഷികൾ നേടാൻ മോഡൽ ഉപയോഗം സഹായിച്ചതിന് തെളിവൊന്നും ഞങ്ങൾ കണ്ടെത്തിയില്ല.