Cyberoperatie: ondersteuning voor malware in het Koreaans

Deze casestudy werd oorspronkelijk gepubliceerd in het rapport van oktober 2025⁠(opent in een nieuw venster) van OpenAI.

We identificeerden en blokkeerden een cluster ChatGPT‑accounts waarvan de Koreaanssprekende beheerders onze modellen probeerden te gebruiken voor de ontwikkeling van malware en command-and-control-infrastructuur (C2). Indicatoren die we tijdens ons onderzoek waarnamen, komen overeen met een rapport van Trellix dat vergelijkbare activiteiten in verband bracht met spearphishingcampagnes tegen Zuid-Koreaanse diplomatieke missies, de inzet van de XenoRAT-malware en het gebruik van GitHub-repository's voor C2.

De overeenkomsten met de rapportage van Trellix, waaronder het waargenomen gebruik van de Koreaanse taal, activiteiten die passen bij de tijdzones UTC+8 en UTC+9 en operationele thema's en onderwerpen, sluiten aan bij wat de beveiligingssector weet over Noord-Koreaanse (DPRK-)actoren. Toch kunnen we de activiteiten niet onafhankelijk aan een specifieke actor toeschrijven. Bovendien blokkeren we vanuit Noord-Korea de toegang tot onze diensten.

De accounts communiceerden voornamelijk in het Koreaans met onze modellen en vertoonden gestructureerde werkprocessen, waarbij veel accounts slechts gedurende korte tijd actief waren. Elk van deze accounts lijkt zich op één specifieke toepassing te hebben gericht, zoals het omzetten van Chrome-extensies naar Safari voor publicatie in de Apple App Store, het configureren van VPN's op Windows Server of het ontwikkelen van macOS Finder-extensies. De afzonderlijke accounts waren dus niet elk op meerdere technische gebieden actief.

We namen interacties met onze modellen waar over onder meer Windows API-hooking, processen voor toegang tot browserreferenties en cookies (DPAPI) en nagemaakte verificatiepagina's, zoals reCAPTCHA-klonen. We zagen ook concepten voor phishingmails in het Koreaans, vaak rond cryptovaluta en zo ontworpen dat ze leken op berichten van overheidsinstanties of financiële dienstverleners.

Daarnaast experimenteerden de actoren met cloudopslagdiensten zoals pCloud en file.io, het maken van directe GDrive-links en API-scripts, en GitHub-functies zoals het ophalen van onbewerkte content en het verwerken van tokens. We vonden geen aanwijzingen dat de schadelijke binaire bestanden die werden gebruikt in de door Trellix beschreven campagnes, met onze modellen waren gegenereerd. Mogelijk gebruikten dezelfde beheerders onze modellen terwijl ze via ontwikkelaars- en cloudplatforms payloads gereedmaakten.

De dreigingsactoren genereerden modeluitvoer ter ondersteuning van meerdere operationele gebieden, waaronder:

• Ontwikkeling van implants en RAT-gerelateerde software: onderzoek naar reflective DLL loading, uitvoering in het geheugen en technieken voor Windows API-hooking.

• Procedures voor het stelen van inloggegevens: scripts genereren, aanpassen en debuggen om via DPAPI-processen van Chrome en Edge encryptiesleutels, cookies en opgeslagen wachtwoorden uit browsers te extraheren.

• Phishing en lokmiddelen: het opstellen van vermoedelijke phishingcontent in het Koreaans, vaak rond cryptovaluta, overheidsinstanties of financiële dienstverleners; en experimenten met HTML-verduistering en het via een proxy doorsturen van reCAPTCHA om overtuigende inlogpagina's te maken.

• Basisstructuren voor macOS-ontwikkeling: verzoeken over de ontwikkeling van Finder- en Safari-extensies en het opstellen van een voorbeeldprivacybeleid voor de App Store.

• Cryptovaluta-activiteiten: problemen oplossen met API-aanroepen en interacties met wallets.

Veel van deze verzoeken vielen in het grijze gebied van activiteiten met zowel legitieme als schadelijke toepassingen. Het kan gaan om volledig legitieme toepassingen, zoals het debuggen van software, cryptografie of browserontwikkeling, maar deze krijgen een andere betekenis wanneer een dreigingsactor ze voor andere doeleinden inzet.

We hebben alle accounts die met deze operatie verband hielden uitgeschakeld en relevante indicatoren met partners gedeeld. We vonden geen aanwijzingen dat toegang tot modellen nieuwe mogelijkheden bood die nog niet openbaar beschikbaar waren.