Cyberoperasjon: Koreanskspråklig støtte til skadevare

Denne casestudien ble opprinnelig publisert i OpenAIs rapport fra oktober 2025⁠(åpnes i et nytt vindu).

Vi identifiserte og utestengte en gruppe ChatGPT‑kontoer der koreanskspråklige operatører forsøkte å bruke modellene våre til å utvikle skadevare og kommando- og kontrollsystemer (C2). Indikatorer vi observerte i arbeidet med saken, overlapper med en rapport fra Trellix som knyttet lignende aktivitet til målrettede phishingkampanjer mot sørkoreanske diplomatiske stasjoner, distribusjon av skadevaren XenoRAT og bruk av GitHub-baserte repositorier til C2.

Overlappet med Trellix-rapporten – blant annet den observerte bruken av koreansk, aktivitet som samsvarer med tidssonene UTC+8 og UTC+9, samt operasjonelle temaer og emner – stemmer overens med sikkerhetsmiljøets forståelse av nordkoreanske aktører (DPRK). Vi kan imidlertid ikke foreta en uavhengig attribusjon, og vi blokkerer også tilgang til tjenestene våre fra Nord-Korea.

Kontoene samhandlet hovedsakelig med modellene våre på koreansk og fulgte strukturerte arbeidsflyter, der mange kontoer var aktive i korte tidsvinduer. Hver av disse kontoene ser ut til å ha vært rettet mot et bestemt bruksområde, som å konvertere Chrome-utvidelser til Safari for publisering i Apple App Store, konfigurere VPN-er på Windows Server eller utvikle Finder-utvidelser for macOS, fremfor at hver konto dekket flere tekniske områder.

Vi observerte blant annet samhandling med modellene våre om hooking av Windows-API-er, arbeidsflyter for tilgang til nettleserlegitimasjon og informasjonskapsler (DPAPI) og etterlignede verifiseringssider, som reCAPTCHA-kloner. Vi så også utkast til phishing-e-poster på koreansk, ofte med kryptovaluta som tema og utformet for å ligne meldinger fra offentlige myndigheter eller leverandører av finansielle tjenester.

Aktørene eksperimenterte dessuten med skylagringstjenester som pCloud og file.io, oppretting av direktekoblinger i GDrive og API-skripting, samt GitHub-funksjoner som henting av råinnhold og tokenhåndtering. Vi fant ingen bevis for at de skadelige binærfilene som ble brukt i kampanjene Trellix beskrev, var generert med modellene våre. Det er mulig at de samme operatørene brukte modellene våre samtidig som de klargjorde nyttelaster via utvikler- og skyplattformer.

Trusselaktørene genererte modellresultater som skulle støtte flere operasjonelle områder, blant annet:

• Utvikling av implantater og RAT-relaterte verktøy: utforsking av reflekterende DLL-lasting, kjøring i minnet og teknikker for hooking av Windows-API-er.

• Rutiner for tyveri av legitimasjon: generering, endring og feilsøking av skript for å hente ut krypteringsnøkler, informasjonskapsler og lagrede passord fra nettlesere ved hjelp av DPAPI-arbeidsflyter i Chrome og Edge.

• Phishing og lokkemidler: utarbeiding av innhold på koreansk som så ut til å være beregnet på phishing, ofte med kryptovaluta, offentlige institusjoner eller leverandører av finansielle tjenester som tema; eksperimentering med HTML-tilsløring og proxying av reCAPTCHA for å lage troverdige innloggingssider.

• Grunnstruktur for macOS-utvikling: forespørsler om utvikling av Finder- og Safari-utvidelser og generering av et eksempel på en personvernerklæring for App Store.

• Kryptovalutaoperasjoner: feilsøking av API-kall og samhandling med lommebøker.

Mange av disse forespørslene befant seg i gråsonen for flerbruksaktivitet. Dette kan omfatte helt legitime bruksområder som feilsøking av programvare, kryptografi eller nettleserutvikling, men får en annen betydning når det brukes til nye formål av en trusselaktør.

Vi deaktiverte alle kontoene som var knyttet til denne operasjonen, og delte relevante indikatorer med samarbeidspartnere. Vi fant ingen bevis for at tilgangen til modellene ga nye kapabiliteter utover det som allerede er offentlig tilgjengelig.