Cyberoperation: stöd för skadlig kod på koreanska

Den här fallstudien publicerades ursprungligen i OpenAI:s rapport från oktober 2025⁠(öppnas i ett nytt fönster).

Vi identifierade och stängde av en grupp ChatGPT‑konton vars koreanskspråkiga användare försökte använda våra modeller för att utveckla skadlig kod och ledningssystem (C2). Indikatorer som vi observerade i våra utredningar överlappar med en rapport från Trellix, där liknande aktivitet kopplades till riktade nätfiskekampanjer mot sydkoreanska diplomatiska beskickningar, spridning av den skadliga koden XenoRAT och användning av GitHub-baserade kodförråd för C2.

Överlappningen med Trellix rapportering – däribland den observerade användningen av koreanska, aktivitet som stämmer överens med tidszonerna UTC+8 och UTC+9 samt operativa teman och ämnen – ligger i linje med säkerhetsbranschens bild av nordkoreanska aktörer (DPRK). Vi kan dock inte självständigt tillskriva aktiviteten en viss aktör, och vi blockerar även åtkomst till våra tjänster från Nordkorea.

Kontona interagerade främst med våra modeller på koreanska och uppvisade strukturerade arbetsflöden där många konton var aktiva under snäva tidsfönster. Vart och ett av kontona verkar ha varit inriktat på ett specifikt användningsområde, exempelvis att konvertera Chrome-tillägg till Safari för publicering i Apple App Store, konfigurera VPN-tjänster på Windows Server eller utveckla Finder-tillägg för macOS, snarare än att omfatta flera tekniska områden.

Vi observerade interaktioner med våra modeller om bland annat hookning av Windows-API:er, arbetsflöden för åtkomst till inloggningsuppgifter och cookies i webbläsare (DPAPI) samt imiterade verifieringssidor, exempelvis reCAPTCHA-kloner. Vi såg också utkast till nätfiskemejl på koreanska, ofta med kryptovalutatema och utformade för att likna meddelanden från myndigheter eller leverantörer av finansiella tjänster.

Aktörerna experimenterade dessutom med molnlagringstjänster som pCloud och file.io, skapande av direktlänkar i GDrive och API-skript samt GitHub-funktioner som hämtning av råinnehåll och tokenhantering. Vi hittade inga belägg för att de skadliga binärfiler som användes i kampanjerna som Trellix beskrev hade genererats med våra modeller. Det är möjligt att samma aktörer använde våra modeller samtidigt som de förberedde nyttolaster via utvecklar- och molnplattformar.

Hotaktörerna genererade modellresultat avsedda att stödja flera operativa områden, däribland:

• Utveckling av implantat och RAT-relaterade verktyg: utforskning av reflektiv DLL-inläsning, exekvering i minnet och tekniker för hookning av Windows-API:er.

• Rutiner för stöld av inloggningsuppgifter: generering, ändring och felsökning av skript för att extrahera krypteringsnycklar, cookies och sparade lösenord från webbläsare med hjälp av DPAPI-arbetsflöden för Chrome och Edge.

• Nätfiske och lockbeten: utkast till vad som verkade vara koreanskspråkigt nätfiskeinnehåll, ofta med teman kring kryptovalutor, myndigheter eller leverantörer av finansiella tjänster, samt experiment med HTML-obfuskering och proxyförmedling av reCAPTCHA för att skapa trovärdiga inloggningssidor.

• Grundstruktur för macOS-utveckling: förfrågningar om utveckling av Finder- och Safari-tillägg samt generering av ett exempel på en integritetspolicy för App Store.

• Kryptovalutaverksamhet: felsökning av API-anrop och interaktioner med plånböcker.

Många av dessa förfrågningar låg i gråzonen för teknik med dubbla användningsområden. Det kan röra sig om helt legitima tillämpningar, som felsökning av programvara, kryptografi eller webbläsarutveckling, men de får en annan betydelse när de återanvänds av en hotaktör.

Vi stängde av samtliga konton som var kopplade till operationen och delade relevanta indikatorer med våra partner. Vi hittade inga belägg för att tillgången till modellerna gav nya förmågor utöver dem som redan är offentligt tillgängliga.