Кибератака: поддержка вредоносного ПО на корейском языке01.10.2025 00:00

Этот пример анализа был изначально опубликован в отчете OpenAI за октябрь 2025 г.⁠.

Мы выявили и заблокировали группу учетных записей ChatGPT, операторы которых использовали корейский язык и пытались задействовать наши модели для разработки вредоносных программ и систем управления (C2). Индикаторы, обнаруженные в ходе расследования, пересекаются с отчетом компании Trellix, в котором аналогичная активность связывалась с целенаправленными фишинговыми кампаниями против южнокорейских дипломатических миссий, развертыванием вредоносного ПО XenoRAT и использованием репозиториев на базе GitHub для управления и контроля.

Хотя пересечения с данными отчета Trellix — включая использование корейского языка, активность в часовых поясах UTC+8 и UTC+9, а также операционные темы и задачи — согласуются с представлениями экспертного сообщества по безопасности о северокорейских (КНДР) хакерских группах, мы не можем независимо подтвердить эту принадлежность, а также блокируем доступ к нашим сервисам с территории КНДР.

Взаимодействие с нашими моделями происходило преимущественно на корейском языке; наблюдались структурированные рабочие процессы со множеством учетных записей, активных в узких временных окнах. Каждая из таких учетных записей, по всей видимости, была сосредоточена на конкретной задаче — например, конвертации расширений Chrome в Safari для публикации в Apple App Store, настройке VPN на Windows Server или разработке расширений macOS Finder, —, а не охватывала сразу несколько технических областей.

Мы зафиксировали запросы к нашим моделям, касающиеся перехвата Windows API (hooking), рабочих процессов доступа к учетным данным браузера и файлам cookie (DPAPI), а также создания поддельных страниц верификации наподобие клонов reCAPTCHA. Кроме того, мы обнаружили черновики фишинговых писем на корейском языке, тематически связанных с криптовалютами и замаскированных под сообщения от правительственных или финансовых организаций.

Кроме того, злоумышленники экспериментировали с облачными хранилищами (такими как pCloud, file.io), формированием прямых ссылок и написанием скриптов для API Google Диска, а также функциями GitHub вроде извлечения исходного содержимого (raw content) и работы с токенами. Мы не нашли доказательств того, что вредоносные бинарные файлы, описанные в отчете Trellix, были созданы с помощью наших моделей. Не исключено, что те же операторы обращались к нашим моделям в процессе подготовки полезной нагрузки через разработческие и облачные платформы.

Субъекты угроз генерировали ответы модели, предназначенные для поддержки различных направлений своей деятельности, в том числе:

• Разработка имплантов и компонентов, связанных с RAT: изучение вопросов рефлексивной загрузки DLL, выполнения кода в оперативной памяти (in-memory) и методов перехвата Windows API.
• Процедуры кражи учетных данных: создание, модификация и отладка скриптов для извлечения ключей шифрования браузера, файлов cookie и сохраненных паролей с использованием механизмов Chrome / Edge DPAPI.
• Фишинг и приманки: составление текстов фишинговых материалов на корейском языке (часто на тему криптовалют, госучреждений или финансовых организаций); эксперименты с обфускацией HTML и проксированием reCAPTCHA для создания убедительных страниц входа.
• Создание каркасов приложений для macOS: запросы, связанные с разработкой расширений для Finder и Safari, а также генерация образца политики конфиденциальности для App Store.
• Операции с криптовалютой: устранение неполадок при вызовах API и взаимодействии с кошельками.

Многие из этих запросов находились в «серой зоне» двойного назначения. Они могут относиться к абсолютно легитимным задачам (например, отладке программного обеспечения, криптографии или разработке браузеров), однако приобретают совсем иной характер, когда злоумышленники используют их в злонамеренных целях.

Мы отключили все учетные записи, связанные с этой операцией, и поделились соответствующими индикаторами с партнерами. Мы не обнаружили никаких доказательств того, что доступ к моделям обеспечил хакерам какие-либо принципиально новые возможности, выходящие за рамки того, что уже общедоступно.

Автор