سائبر کارروائی: کوریائی زبان میں ضرر رساں سافٹ ویئر کی معاونت

یہ کیس اسٹڈی اصل میں OpenAI کی اکتوبر 2025⁠(نئی ونڈو میں کھلتا ہے) کی رپورٹ میں شائع ہوئی تھی.

ہم نے ایسے ChatGPT اکاؤنٹس کے ایک گروہ کی نشاندہی کر کے ان پر پابندی لگا دی جن کے کوریائی زبان بولنے والے آپریٹرز نے ضرر رساں سافٹ ویئر اور کمانڈ اینڈ کنٹرول (C2) کی تیاری کے لیے ہمارے ماڈلز استعمال کرنے کی کوشش کی تھی. ہماری تحقیقات میں نظر آنے والے اشاریے Trellix کی ایک رپورٹ سے مطابقت رکھتے ہیں، جس میں اسی نوعیت کی سرگرمی کو جنوبی کوریا کے سفارتی مشنوں کے خلاف مخصوص افراد کو نشانہ بنانے والی جعل ساز ای میل مہمات، XenoRAT ضرر رساں سافٹ ویئر کی تعیناتی اور C2 کے لیے GitHub پر موجود ذخائر کے استعمال سے منسلک کیا گیا تھا.

Trellix کی رپورٹ سے یہ مماثلت، جس میں کوریائی زبان کا مشاہدہ شدہ استعمال، UTC+8 اور UTC+9 منطقۂ وقت سے مطابقت رکھنے والی سرگرمی اور کارروائیوں کے موضوعات شامل ہیں، شمالی کوریائی (DPRK) کارندوں کے بارے میں سلامتی کی برادری کی سمجھ سے ہم آہنگ ہے۔ تاہم، ہم آزادانہ طور پر یہ سرگرمی کسی فریق سے منسوب نہیں کر سکتے، اور شمالی کوریا سے اپنی خدمات تک رسائی بھی مسدود رکھتے ہیں.

ان اکاؤنٹس نے ہمارے ماڈلز کے ساتھ زیادہ تر کوریائی زبان میں تعامل کیا اور ان کا کام منظم طریقۂ کار پر مبنی تھا، جس میں بہت سے اکاؤنٹس مختصر مخصوص اوقات میں فعال رہتے تھے. ایسا معلوم ہوتا ہے کہ ہر اکاؤنٹ نے متعدد تکنیکی شعبوں میں کام کرنے کے بجائے کسی ایک مخصوص مقصد پر توجہ دی، مثلاً Apple App Store پر اشاعت کے لیے Chrome توسیعات کو Safari کے مطابق ڈھالنا، Windows Server کے VPNs کی ترتیب کرنا یا macOS Finder توسیعات تیار کرنا.

ہم نے اپنے ماڈلز کے ساتھ ایسے تعاملات دیکھے جن میں Windows API میں ہُک لگانا، براؤزر کی اسناد اور کوکیز تک رسائی کے طریقۂ کار (DPAPI)، اور اصل سے مشابہ تصدیقی صفحات، مثلاً reCAPTCHA کی نقول، شامل تھے. ہم نے کوریائی زبان میں جعل ساز ای میلز کے مسودے بھی دیکھے، جو اکثر کرپٹو کرنسی سے متعلق ہوتے تھے اور سرکاری یا مالیاتی خدمات فراہم کرنے والے اداروں کے پیغامات جیسے دکھائی دینے کے لیے بنائے گئے تھے.

اس کے علاوہ، کارندوں نے pCloud، file.io اور GDrive جیسی کلاؤڈ ذخیرہ کاری کی خدمات میں براہ راست روابط بنانے اور API کے لیے اسکرپٹ لکھنے کے تجربات کیے، نیز GitHub کی خصوصیات، مثلاً خام مواد حاصل کرنے اور ٹوکن سنبھالنے، کو آزمایا. ہمیں اس بات کا کوئی ثبوت نہیں ملا کہ Trellix کی بیان کردہ مہمات میں استعمال ہونے والی ضرر رساں بائنری فائلیں ہمارے ماڈلز سے تیار کی گئی تھیں. ممکن ہے کہ یہی آپریٹرز ترقیاتی اور کلاؤڈ پلیٹ فارمز کے ذریعے پے لوڈز تیار کرتے وقت ہمارے ماڈلز استعمال کر رہے ہوں.

خطرہ پیدا کرنے والے کارندوں نے ماڈل سے ایسے نتائج تیار کرائے جو کارروائی کے متعدد شعبوں میں مدد کے لیے بنائے گئے تھے، جن میں یہ شامل ہیں:

• نصب شدہ پروگرام اور RAT سے متعلق تیاری: DLL کی عکسی بارگذاری، میموری کے اندر نفاذ اور Windows API میں ہُک لگانے کی تکنیکوں کی آزمائش.

• اسناد چرانے کے طریقے: Chrome / Edge کے DPAPI طریقۂ کار سے براؤزر کی رمزنگاری کلیدیں، کوکیز اور محفوظ شدہ پاس ورڈ نکالنے کے لیے اسکرپٹس تیار کرنا، ان میں تبدیلی کرنا اور خامیاں دور کرنا.

• جعل سازی اور جھانسے: بظاہر جعل سازی کے لیے کوریائی زبان میں مواد تیار کرنا، جو اکثر کرپٹو کرنسی، سرکاری اداروں یا مالیاتی خدمات فراہم کرنے والوں سے متعلق ہوتا تھا؛ نیز قابل یقین لاگ اِن صفحات بنانے کے لیے HTML کو مبہم بنانے اور reCAPTCHA کو پراکسی کے ذریعے چلانے کے تجربات کرنا.

• macOS کی تیاری کا بنیادی ڈھانچہ: Finder اور Safari توسیعات تیار کرنے اور App Store کے لیے پرائیویسی پالیسی کا نمونہ بنانے کی درخواستیں.

• کرپٹو کرنسی کی کارروائیاں: API درخواستوں اور والیٹ کے ساتھ تعامل میں مسائل دور کرنا.

ان میں سے بہت سی درخواستیں دوہرے استعمال کی سرگرمی کے مبہم دائرے میں آتی تھیں. ان کے استعمال مکمل طور پر جائز مقاصد، مثلاً سافٹ ویئر کی خامیاں دور کرنے، رمز نگاری یا براؤزر تیار کرنے کے لیے ہو سکتے ہیں، لیکن جب کوئی خطرہ پیدا کرنے والا کارندہ انہیں دوسرے مقصد کے لیے استعمال کرے تو ان کی اہمیت بدل جاتی ہے.

ہم نے اس کارروائی سے وابستہ تمام اکاؤنٹس غیر فعال کر دیے اور متعلقہ اشاریے شراکت داروں کے ساتھ مشترک کیے. ہمیں اس بات کا کوئی ثبوت نہیں ملا کہ ماڈل تک رسائی نے پہلے سے عوامی طور پر دستیاب صلاحیتوں سے بڑھ کر کوئی نئی صلاحیت فراہم کی.