Operazzjoni ċibernetika: appoġġ għal malware bil-Korean

Dan l-istudju tal-każ ġie ppubblikat oriġinarjament fir-rapport ta’ OpenAI ta’ Ottubru 2025⁠(jinfetaħ f’tieqa ġdida).

Identifikajna u bblukkajna grupp ta’ kontijiet ta’ ChatGPT li l-operaturi tagħhom, li kienu jużaw il-Korean, ippruvaw jużaw il-mudelli tagħna biex jiżviluppaw malware u sistemi ta’ kmand u kontroll (C2). L-indikaturi li osservajna matul l-investigazzjoni tagħna jikkoinċidu ma’ rapport ta’ Trellix li rabat attività simili ma’ kampanji ta’ spear phishing kontra missjonijiet diplomatiċi tal-Korea t’Isfel, mat-tħaddim tal-malware XenoRAT u mal-użu ta’ repożitorji fuq GitHub għal C2.

Għalkemm ix-xebh mar-rapport ta’ Trellix—inkluż l-użu osservat tal-Korean, attività konsistenti maż-żoni tal-ħin UTC+8 u UTC+9, kif ukoll temi u suġġetti operattivi—huwa konformi mal-fehim tal-komunità tas-sigurtà dwar atturi tal-Korea ta’ Fuq (DPRK), ma nistgħux nattribwixxu din l-attività b’mod indipendenti. Barra minn hekk, aħna nibblukkaw l-aċċess għas-servizzi tagħna mill-Korea ta’ Fuq.

Il-kontijiet interaġixxew mal-mudelli tagħna primarjament bil-Korean u wrew flussi tax-xogħol strutturati, b’ħafna kontijiet attivi f’intervalli qosra ta’ ħin. Kull wieħed minn dawn il-kontijiet jidher li ffoka fuq każ ta’ użu speċifiku—pereżempju, il-konverżjoni ta’ estensjonijiet ta’ Chrome għal Safari biex jiġu ppubblikati fl-Apple App Store, il-konfigurazzjoni ta’ VPNs fuq Windows Server jew l-iżvilupp ta’ estensjonijiet ta’ Finder għal macOS—minflok ma kopra diversi oqsma tekniċi.

Osservajna interazzjonijiet mal-mudelli tagħna dwar suġġetti bħall-hooking tal-Windows API, flussi tax-xogħol għall-aċċess għall-kredenzjali u l-cookies tal-brawżer (DPAPI), u paġni ta’ verifika li jimitaw oħrajn, bħal kloni ta’ reCAPTCHA. Rajna wkoll abbozzi ta’ emails ta’ phishing bil-Korean, spiss dwar il-kriptovaluti u mfassla biex jidhru bħala messaġġi minn fornituri ta’ servizzi governattivi jew finanzjarji.

Barra minn hekk, l-atturi esperimentaw b’servizzi ta’ ħżin fil-cloud bħal pCloud u file.io, bil-ħolqien ta’ links diretti ta’ GDrive u scripting tal-API, kif ukoll b’funzjonijiet ta’ GitHub bħall-irkupru ta’ kontenut mhux ipproċessat u l-ġestjoni tat-tokens. Ma sibniex evidenza li l-binarji malizzjużi użati fil-kampanji deskritti minn Trellix ġew iġġenerati bil-mudelli tagħna. Huwa possibbli li l-istess operaturi kienu qed jużaw il-mudelli tagħna waqt li kienu qed iħejju payloads permezz ta’ pjattaformi tal-iżviluppaturi u tal-cloud.

L-atturi tat-theddid iġġeneraw outputs tal-mudell maħsuba biex jappoġġaw diversi oqsma operattivi, fosthom:

• Żvilupp ta’ implants u għodod relatati ma’ RAT: esplorazzjoni tat-tagħbija riflessiva ta’ DLLs, l-eżekuzzjoni fil-memorja u tekniki ta’ hooking tal-Windows API.

• Rutini għas-serq tal-kredenzjali: il-ġenerazzjoni, il-modifika u d-debugging ta’ scripts biex jiġu estratti ċ-ċwievet tal-kriptaġġ, il-cookies u l-passwords issejvjati tal-brawżer permezz tal-flussi tax-xogħol DPAPI ta’ Chrome / Edge.

• Phishing u lixki: it-tħejjija ta’ kontenut li deher li kien phishing bil-Korean, spiss dwar il-kriptovaluti, istituzzjonijiet governattivi jew fornituri ta’ servizzi finanzjarji; u esperimenti bl-offuskazzjoni tal-HTML u bil-proxying ta’ reCAPTCHA biex jinħolqu paġni tal-login konvinċenti.

• Struttura bażika għall-iżvilupp fuq macOS: talbiet dwar l-iżvilupp ta’ estensjonijiet għal Finder u Safari u l-ġenerazzjoni ta’ kampjun ta’ politika tal-privatezza għall-App Store.

• Operazzjonijiet bil-kriptovaluti: is-soluzzjoni ta’ problemi fis-sejħiet tal-API u fl-interazzjonijiet mal-kartieri.

Ħafna minn dawn it-talbiet kienu fiż-żona griża ta’ attività b’użu doppju. Dawn jistgħu jinvolvu applikazzjonijiet għalkollox leġittimi, bħad-debugging tas-software, il-kriptografija jew l-iżvilupp ta’ brawżers, iżda jieħdu tifsira differenti meta jiġu adattati għal skopijiet oħra minn attur tat-theddid.

Iddiżattivajna l-kontijiet kollha assoċjati ma’ din l-operazzjoni u qsamna l-indikaturi rilevanti mas-sħab tagħna. Ma sibniex evidenza li l-aċċess għall-mudell ippermetta kapaċitajiet ġodda lil hinn minn dak li diġà huwa disponibbli pubblikament.