Cyberoperacja: wsparcie w języku koreańskim przy tworzeniu złośliwego oprogramowania

To studium przypadku opublikowano pierwotnie w raporcie OpenAI z października 2025 r.⁠(otwiera nowe okno)

Zidentyfikowaliśmy i zablokowaliśmy grupę kont ChatGPT, których koreańskojęzyczni operatorzy próbowali używać naszych modeli do tworzenia złośliwego oprogramowania oraz infrastruktury dowodzenia i kontroli (C2). Wskaźniki zaobserwowane podczas naszych analiz pokrywają się z informacjami z raportu firmy Trellix, który powiązał podobną aktywność z kampaniami ukierunkowanego phishingu wymierzonymi w południowokoreańskie placówki dyplomatyczne, wdrażaniem złośliwego oprogramowania XenoRAT oraz wykorzystywaniem repozytoriów w serwisie GitHub do celów C2.

Podobieństwa do działań opisanych przez Trellix — w tym używanie języka koreańskiego, aktywność w porach odpowiadających strefom czasowym UTC+8 i UTC+9 oraz tematyka operacji — są zgodne z wiedzą społeczności zajmującej się bezpieczeństwem na temat podmiotów z Korei Północnej (KRLD). Nie jesteśmy jednak w stanie niezależnie przypisać tych działań konkretnemu podmiotowi. Ponadto blokujemy dostęp do naszych usług z Korei Północnej.

Konta korzystały z naszych modeli głównie w języku koreańskim. Działały według uporządkowanych schematów, a wiele z nich było aktywnych w krótkich przedziałach czasowych. Każde z tych kont koncentrowało się na konkretnym zastosowaniu, na przykład dostosowywaniu rozszerzeń Chrome do Safari w celu publikacji w Apple App Store, konfigurowaniu sieci VPN w Windows Server lub tworzeniu rozszerzeń Findera dla systemu macOS. Poszczególne konta nie obejmowały więc wielu obszarów technicznych.

Zaobserwowaliśmy interakcje z naszymi modelami dotyczące między innymi przechwytywania wywołań Windows API, procesów uzyskiwania dostępu do danych uwierzytelniających i plików cookie przeglądarek (DPAPI) oraz tworzenia stron weryfikacyjnych imitujących oryginalne witryny, takich jak klony reCAPTCHA. Zauważyliśmy również wersje robocze wiadomości phishingowych w języku koreańskim. Często dotyczyły kryptowalut i miały wyglądać jak wiadomości od instytucji rządowych lub dostawców usług finansowych.

Ponadto sprawcy eksperymentowali z usługami przechowywania danych w chmurze, takimi jak pCloud, file.io i GDrive, tworzeniem bezpośrednich linków i skryptów API, a także funkcjami serwisu GitHub, takimi jak pobieranie nieprzetworzonej zawartości i obsługa tokenów. Nie znaleźliśmy dowodów na to, że szkodliwe pliki binarne używane w kampaniach opisanych przez Trellix zostały wygenerowane przy użyciu naszych modeli. Niewykluczone, że ci sami operatorzy używali naszych modeli podczas przygotowywania ładunków za pośrednictwem platform deweloperskich i chmurowych.

Sprawcy zagrożeń generowali odpowiedzi modeli mające wspierać działania w wielu obszarach, w tym:

• Tworzenie implantów i narzędzi zbliżonych do RAT: badanie refleksyjnego ładowania bibliotek DLL, wykonywania kodu w pamięci oraz technik przechwytywania wywołań Windows API.

• Procedury kradzieży danych uwierzytelniających: generowanie, modyfikowanie i debugowanie skryptów służących do wyodrębniania kluczy szyfrujących przeglądarek, plików cookie i zapisanych haseł przy użyciu procesów DPAPI w Chrome / Edge.

• Phishing i przynęty: tworzenie treści wyglądających na koreańskojęzyczny phishing, często związanych z kryptowalutami, instytucjami rządowymi lub dostawcami usług finansowych, a także eksperymentowanie z zaciemnianiem kodu HTML i przekazywaniem reCAPTCHA przez serwer proxy w celu tworzenia wiarygodnych stron logowania.

• Tworzenie podstaw aplikacji dla systemu macOS: zapytania dotyczące opracowywania rozszerzeń Findera i Safari oraz generowania przykładowych zasad prywatności do App Store.

• Działania związane z kryptowalutami: rozwiązywanie problemów z wywołaniami API i interakcjami z portfelami.

Wiele z tych zapytań znajdowało się w szarej strefie działań podwójnego zastosowania. Mogą one dotyczyć całkowicie legalnych zastosowań, takich jak debugowanie oprogramowania, kryptografia lub rozwój przeglądarek, lecz nabierają innego znaczenia, gdy sprawca zagrożenia wykorzystuje je w innym celu.

Wyłączyliśmy wszystkie konta powiązane z tą operacją i udostępniliśmy partnerom odpowiednie wskaźniki. Nie znaleźliśmy dowodów na to, że dostęp do modeli zapewnił nowe możliwości wykraczające poza te, które są już publicznie dostępne.