Нова хакерська схема: використання кастомних ChatGPT для розповсюдження шкідливого ПЗ
Фахівці з кібербезпеки компанії Huntress виявили нову хакерську кампанію, в рамках якої зловмисники використовують спеціально створені моделі ChatGPT для поширення шкідливого програмного забезпечення. Згідно з інформацією, опублікованою на сайті BleepingComputer, схема передбачає використання рекламних оголошень у Google, які перенаправляють користувачів на підроблені чатботи. Ці чатботи запускають атаки типу ClickFix та встановлюють троян віддаленого доступу (RAT).
Дослідники зазначили, що користувачі, які шукають ChatGPT у Google, можуть натрапити на рекламне посилання, яке веде до кастомного чатбота під назвою Plus 5.6, розміщеного на офіційному домені OpenAI. Це створює враження безпечності ресурсу. Після початку діалогу бот видає повідомлення про перевантаження серверів та пропонує перейти на резервний сайт у Google Sites. На цьому сайті користувач стикається з фальшивою перевіркою Cloudflare, яка змушує його скопіювати рядок коду та вставити його у PowerShell.
Виконання цієї команди призводить до непомітного завантаження інсталятора ISOSimple.msi, що запускає процес зараження. Щоб уникнути виявлення антивірусами, зловмисники використовують легальні програми для прихованого запуску шкідливого коду. Спочатку вони застосовували підписаний додаток Canon (COTFileReadApp.exe), маскуючи вірус у файлі формату .WAV. Пізніше вони перейшли на виконуваний файл Stardock і сховали код у пакеті Microsoft NuGet.
Після встановлення основного компонента на комп’ютері жертви запускається RAT, який надає хакерам віддалений доступ до робочого столу, камери, мікрофона та файлів. Для забезпечення стійкості програми створюється новий ключ у реєстрі Windows та завдання Canon Configuration Reader, яке активується при кожному перезавантаженні системи. Huntress зафіксувала понад 40 випадків, пов’язаних із цією схемою, два з яких безпосередньо стосуються кастомних GPT. OpenAI видалила першу модель 25 вересня, однак вже через два дні дослідники виявили новий варіант. Це відбувається на фоні оголошеного плану компанії щодо припинення підтримки кастомних GPT 11 грудня, що свідчить про прагнення хакерів максимально використати можливості функції до її закриття.
