Operasi Siber: Sokongan perisian hasad berbahasa Korea

Kajian kes ini pada asalnya diterbitkan dalam laporan OpenAI bagi Oktober 2025⁠(dibuka dalam tetingkap baru).

Kami mengenal pasti dan menyekat sekumpulan akaun ChatGPT yang pengendalinya menggunakan bahasa Korea dan cuba menggunakan model kami untuk membangunkan perisian hasad serta sistem perintah dan kawalan (C2). Petunjuk yang kami perhatikan dalam siasatan kami bertindan dengan laporan Trellix yang mengaitkan aktiviti serupa dengan kempen pancingan data bersasar terhadap misi diplomatik Korea Selatan, penggunaan perisian hasad XenoRAT dan repositori berasaskan GitHub untuk C2.

Walaupun persamaan dengan laporan Trellix—termasuk penggunaan bahasa Korea, aktiviti yang selaras dengan zon waktu UTC+8 dan UTC+9, serta tema dan topik operasi—menepati pemahaman komuniti keselamatan tentang pelaku Korea Utara (DPRK), kami tidak dapat menentukan pihak yang bertanggungjawab secara bebas. Kami juga menyekat akses kepada perkhidmatan kami dari Korea Utara.

Akaun tersebut berinteraksi dengan model kami terutamanya dalam bahasa Korea dan menunjukkan aliran kerja yang tersusun, dengan banyak akaun aktif dalam tempoh masa yang singkat. Setiap akaun ini kelihatan tertumpu pada kegunaan tertentu, seperti menukar sambungan Chrome kepada Safari untuk diterbitkan di Apple App Store, mengkonfigurasi VPN Windows Server atau membangunkan sambungan Finder untuk macOS, dan bukannya merangkumi pelbagai bidang teknikal.

Kami memerhatikan interaksi dengan model kami yang melibatkan pemintasan API Windows, aliran kerja untuk mengakses bukti kelayakan dan kuki pelayar (DPAPI), serta halaman pengesahan tiruan seperti klon reCAPTCHA. Kami turut melihat draf e-mel pancingan data dalam bahasa Korea yang sering bertemakan mata wang kripto dan direka supaya kelihatan seperti mesej daripada kerajaan atau penyedia perkhidmatan kewangan.

Selain itu, para pelaku bereksperimen dengan perkhidmatan storan awan seperti pCloud dan file.io, pembinaan pautan terus GDrive dan penskripan API, serta fungsi GitHub seperti pengambilan kandungan mentah dan pengendalian token. Kami tidak menemukan bukti bahawa binari berniat jahat yang digunakan dalam kempen yang diterangkan oleh Trellix dijana menggunakan model kami. Ada kemungkinan pengendali yang sama menggunakan model kami sambil menyediakan muatan melalui platform pembangun dan awan.

Pelaku ancaman menjana output model yang direka untuk menyokong pelbagai bidang operasi, termasuk:

• Pembangunan implan dan teknologi berkaitan RAT: penerokaan pemuatan DLL secara reflektif, pelaksanaan dalam memori dan teknik pemintasan API Windows.

• Rutin pencurian bukti kelayakan: menjana, mengubah suai dan menyahpepijat skrip untuk mengekstrak kunci penyulitan pelayar, kuki dan kata laluan tersimpan menggunakan aliran kerja DPAPI Chrome/Edge.

• Pancingan data dan umpan: merangka kandungan yang kelihatan seperti pancingan data berbahasa Korea, lazimnya bertemakan mata wang kripto, institusi kerajaan atau penyedia perkhidmatan kewangan; serta bereksperimen dengan pengaburan HTML dan penggunaan proksi reCAPTCHA untuk menghasilkan halaman log masuk yang meyakinkan.

• Kerangka asas pembangunan macOS: permintaan berkaitan pembangunan sambungan Finder dan Safari serta penjanaan contoh dasar privasi App Store.

• Operasi mata wang kripto: menyelesaikan masalah panggilan API dan interaksi dompet.

Banyak permintaan ini berada dalam kawasan kelabu aktiviti dwiguna. Aktiviti ini boleh melibatkan penggunaan yang benar-benar sah, seperti penyahpepijatan perisian, kriptografi atau pembangunan pelayar, tetapi membawa implikasi berbeza apabila digunakan semula oleh pelaku ancaman.

Kami menyahaktifkan semua akaun yang dikaitkan dengan operasi ini dan berkongsi petunjuk berkaitan dengan rakan kongsi. Kami tidak menemukan bukti bahawa akses kepada model membolehkan keupayaan baharu yang melangkaui apa-apa yang sudah tersedia secara umum.