Кібероперація: підтримка розробки шкідливого ПЗ корейською мовою

Це дослідження вперше було опубліковано у звіті OpenAI за жовтень 2025 року⁠(відкривається у новому вікні).

Ми виявили й заблокували групу облікових записів ChatGPT, оператори яких спілкувалися корейською та намагалися використовувати наші моделі для розробки шкідливого програмного забезпечення й систем командування та керування (C2). Виявлені під час нашого розслідування індикатори частково збігаються з даними звіту Trellix, у якому подібну діяльність пов’язали з кампаніями цільового фішингу проти дипломатичних представництв Південної Кореї, розгортанням шкідливого ПЗ XenoRAT і використанням репозиторіїв на GitHub для C2.

Хоча збіги з даними Trellix — зокрема використання корейської мови, активність, що відповідає часовим поясам UTC+8 і UTC+9, а також оперативні теми — узгоджуються з уявленням фахівців із безпеки про суб’єктів із Північної Кореї (КНДР), ми не можемо незалежно встановити їхню причетність. Крім того, доступ до наших сервісів із Північної Кореї заблоковано.

Власники облікових записів взаємодіяли з нашими моделями переважно корейською мовою, дотримуючись структурованих робочих процесів; багато облікових записів були активні протягом коротких проміжків часу. Схоже, кожен із цих облікових записів був зосереджений на конкретному сценарії використання — наприклад, перенесенні розширень Chrome до Safari для публікації в Apple App Store, налаштуванні VPN на Windows Server або розробці розширень Finder для macOS, — а не охоплював кілька технічних напрямів.

Ми спостерігали взаємодії з нашими моделями на такі теми, як перехоплення викликів Windows API, процеси доступу до облікових даних і файлів cookie браузера (DPAPI), а також створення підроблених сторінок перевірки, зокрема клонів reCAPTCHA. Ми також бачили чернетки фішингових листів корейською мовою, часто на тему криптовалют і оформлені як повідомлення від державних установ або постачальників фінансових послуг.

Крім того, зловмисники експериментували з хмарними сховищами, як-от pCloud, file.io та GDrive, створенням прямих посилань і сценаріїв для API, а також із функціями GitHub, зокрема отриманням необробленого вмісту й обробкою токенів. Ми не знайшли доказів того, що шкідливі виконувані файли, використані в описаних Trellix кампаніях, були створені за допомогою наших моделей. Можливо, ті самі оператори використовували наші моделі, водночас готуючи корисне навантаження через платформи для розробників і хмарні платформи.

Зловмисники отримували від моделі результати, призначені для підтримки кількох напрямів діяльності, зокрема:

• Розробка імплантів і засобів, подібних до RAT: дослідження рефлективного завантаження DLL, виконання коду в пам’яті та методів перехоплення викликів Windows API.

• Процедури викрадення облікових даних: створення, модифікація й налагодження сценаріїв для вилучення ключів шифрування браузера, файлів cookie та збережених паролів за допомогою процесів DPAPI у Chrome і Edge.

• Фішинг і приманки: підготовка ймовірно фішингових матеріалів корейською мовою, часто на тему криптовалют, державних установ або постачальників фінансових послуг; експерименти з обфускацією HTML і проксіюванням reCAPTCHA для створення переконливих сторінок входу.

• Допоміжні компоненти для розробки під macOS: запити щодо розробки розширень Finder і Safari та створення зразка політики конфіденційності для App Store.

• Операції з криптовалютами: усунення проблем із викликами API та взаємодією з гаманцями.

Чимало цих запитів належали до сірої зони діяльності подвійного призначення. Такі дії можуть мати цілком законне застосування, наприклад у налагодженні програмного забезпечення, криптографії чи розробці браузерів, але набувають іншого значення, коли їх використовує зловмисник.

Ми деактивували всі облікові записи, пов’язані з цією операцією, і передали партнерам відповідні індикатори. Ми не знайшли доказів того, що доступ до моделі забезпечив нові можливості, яких іще немає у відкритому доступі.