Кибероперация: поддержка разработки вредоносного ПО на корейском языке

Это исследование впервые было опубликовано в отчете OpenAI за октябрь 2025 года⁠(открывается в новом окне).

Мы выявили и заблокировали группу учетных записей ChatGPT, операторы которых общались на корейском языке и пытались использовать наши модели для разработки вредоносного ПО и инфраструктуры управления (C2). Выявленные нами в ходе расследования индикаторы частично совпадают с данными отчета Trellix, в котором аналогичная активность связывается с целевыми фишинговыми кампаниями против дипломатических представительств Южной Кореи, развертыванием вредоносного ПО XenoRAT и использованием репозиториев на GitHub для инфраструктуры C2.

Совпадения с данными Trellix — в том числе использование корейского языка, активность, соответствующая часовым поясам UTC+8 и UTC+9, а также характер и тематика операций — согласуются с представлениями специалистов по безопасности о субъектах из Северной Кореи (КНДР). Однако мы не можем независимо установить их причастность. Кроме того, доступ к нашим сервисам из Северной Кореи заблокирован.

Владельцы учетных записей взаимодействовали с нашими моделями преимущественно на корейском языке, используя структурированные рабочие процессы, при которых многие учетные записи были активны лишь в узких временных интервалах. Каждая из этих учетных записей, по-видимому, использовалась для конкретной задачи — например, переноса расширений Chrome в Safari для публикации в Apple App Store, настройки VPN на Windows Server или разработки расширений Finder для macOS, — а не для работы сразу в нескольких технических областях.

Мы наблюдали взаимодействия с нашими моделями по таким темам, как перехват вызовов Windows API, процессы доступа к учетным данным и файлам cookie браузеров (DPAPI), а также поддельные страницы проверки, например копии reCAPTCHA. Мы также обнаружили черновики фишинговых писем на корейском языке, которые часто были посвящены криптовалюте и маскировались под сообщения от государственных учреждений или поставщиков финансовых услуг.

Кроме того, злоумышленники экспериментировали с облачными хранилищами, такими как pCloud и file.io, созданием прямых ссылок GDrive и скриптов для API, а также с функциями GitHub, включая получение необработанного содержимого и обработку токенов. Мы не обнаружили доказательств того, что вредоносные исполняемые файлы, использовавшиеся в описанных Trellix кампаниях, были созданы с помощью наших моделей. Возможно, те же операторы использовали наши модели, одновременно размещая полезную нагрузку на платформах для разработчиков и облачных платформах.

Злоумышленники генерировали с помощью моделей материалы для различных направлений своей деятельности, включая:

• Разработка имплантов и связанных с RAT средств: изучение рефлективной загрузки DLL, выполнения кода в памяти и методов перехвата вызовов Windows API.

• Механизмы кражи учетных данных: создание, изменение и отладка скриптов для извлечения ключей шифрования браузеров, файлов cookie и сохраненных паролей с использованием процессов DPAPI в Chrome и Edge.

• Фишинг и приманки: подготовка предположительно фишинговых материалов на корейском языке, часто на тему криптовалюты, государственных учреждений или поставщиков финансовых услуг; эксперименты с обфускацией HTML и проксированием reCAPTCHA для создания убедительных страниц входа.

• Заготовки для разработки под macOS: запросы, связанные с разработкой расширений Finder и Safari, а также созданием примера политики конфиденциальности для App Store.

• Операции с криптовалютой: устранение неполадок при вызовах API и взаимодействии с кошельками.

Многие из этих запросов относились к серой зоне технологий двойного назначения. У таких технологий могут быть вполне законные применения, например отладка программного обеспечения, криптография или разработка браузеров, но при использовании злоумышленниками они приобретают иное значение.

Мы заблокировали все учетные записи, связанные с этой операцией, и передали партнерам соответствующие индикаторы. Мы не обнаружили доказательств того, что доступ к моделям предоставил новые возможности сверх уже общедоступных.