Kybernetická operácia: podpora malvéru v kórejčine

Táto prípadová štúdia bola pôvodne publikovaná v správe OpenAI z októbra 2025⁠(otvorí sa v novom okne).

Identifikovali a zablokovali sme skupinu účtov ChatGPT, ktorých kórejsky hovoriaci prevádzkovatelia sa pokúšali používať naše modely na vývoj malvéru a infraštruktúry velenia a riadenia (C2). Ukazovatele, ktoré sme zaznamenali pri vyšetrovaní, sa prekrývajú so správou spoločnosti Trellix, ktorá spájala podobnú aktivitu s cielenými phishingovými kampaňami proti juhokórejským diplomatickým misiám, nasadením malvéru XenoRAT a využívaním repozitárov na GitHube na účely C2.

Prekryv so zisteniami spoločnosti Trellix – vrátane zaznamenaného používania kórejčiny, aktivity zodpovedajúcej časovým pásmam UTC+8 a UTC+9 a operačných motívov a tém – síce zodpovedá poznatkom bezpečnostnej komunity o severokórejských aktéroch (KĽDR), no pôvod tejto činnosti nedokážeme nezávisle určiť. Zároveň blokujeme prístup k našim službám zo Severnej Kórey.

Účty komunikovali s našimi modelmi najmä v kórejčine a využívali systematické pracovné postupy, pričom mnohé z nich boli aktívne len v úzkych časových intervaloch. Zdá sa, že každý z týchto účtov sa zameriaval na konkrétny prípad použitia, napríklad na konverziu rozšírení pre Chrome na rozšírenia pre Safari určené na zverejnenie v Apple App Store, konfiguráciu sietí VPN v systéme Windows Server alebo vývoj rozšírení Findera pre macOS. Jednotlivé účty teda nepokrývali viacero technických oblastí.

Zaznamenali sme interakcie s našimi modelmi týkajúce sa napríklad zachytávania volaní rozhrania Windows API, postupov na získanie prístupu k prihlasovacím údajom a súborom cookie v prehliadačoch pomocou DPAPI či napodobenín overovacích stránok, ako sú klony reCAPTCHA. Zaznamenali sme aj návrhy phishingových e-mailov v kórejčine, ktoré sa často týkali kryptomien a mali vyzerať ako správy od štátnych inštitúcií alebo poskytovateľov finančných služieb.

Aktéri okrem toho experimentovali so službami cloudového úložiska, ako sú pCloud a file.io, s vytváraním priamych odkazov v GDrive a skriptovaním API, ako aj s funkciami GitHubu, napríklad získavaním nespracovaného obsahu a spracovaním tokenov. Nenašli sme dôkazy, že by škodlivé binárne súbory použité v kampaniach opísaných spoločnosťou Trellix boli vytvorené pomocou našich modelov. Je možné, že tí istí prevádzkovatelia používali naše modely a zároveň pripravovali škodlivý kód prostredníctvom vývojárskych a cloudových platforiem.

Aktéri hrozieb generovali výstupy modelu určené na podporu viacerých operačných oblastí vrátane týchto:

• Vývoj implantátov a nástrojov súvisiacich s RAT: skúmanie reflexívneho načítavania DLL, spúšťania v pamäti a techník zachytávania volaní rozhrania Windows API.

• Postupy krádeže prihlasovacích údajov: generovanie, úprava a ladenie skriptov na extrakciu šifrovacích kľúčov prehliadačov, súborov cookie a uložených hesiel pomocou postupov DPAPI pre Chrome a Edge.

• Phishing a návnady: príprava obsahu, ktorý pôsobil ako phishing v kórejčine a často sa týkal kryptomien, štátnych inštitúcií alebo poskytovateľov finančných služieb; experimentovanie so zneprehľadňovaním HTML a sprostredkovaním reCAPTCHA cez proxy s cieľom vytvoriť presvedčivé prihlasovacie stránky.

• Základy vývoja pre macOS: požiadavky týkajúce sa vývoja rozšírení pre Finder a Safari a vytvorenia vzorových zásad ochrany osobných údajov pre App Store.

• Operácie s kryptomenami: riešenie problémov s volaniami API a interakciami s peňaženkami.

Mnohé z týchto požiadaviek patrili do sivej zóny činností s dvojakým použitím. Môže ísť o úplne legitímne použitia, ako je ladenie softvéru, kryptografia alebo vývoj prehliadačov, no ak ich na svoje účely využije aktér hrozby, nadobúdajú iný význam.

Zablokovali sme všetky účty spojené s touto operáciou a príslušné ukazovatele sme poskytli partnerom. Nenašli sme dôkazy, že by prístup k modelu poskytol nové možnosti nad rámec toho, čo je už verejne dostupné.