Uma nova campanha ClickFix está usando GPTs personalizados do ChatGPT para se passar por produtos legítimos e atrair vítimas a executar código malicioso em suas máquinas. Os GPTs personalizados são versões do ChatGPT com instruções e ferramentas específicas, hospedadas no ChatGPT.com, cujas páginas exibem nomes personalizados e o perfil do criador.
Campanha usa Google Sites e PowerShell para infectar vítimas
Segundo a empresa de cibersegurança Huntress, um ator de ameaças programou dois GPTs personalizados para responder aos prompts dos usuários com um link do Google Sites que levava a uma página ClickFix. Nessa página, os visitantes eram instruídos a executar comandos PowerShell que baixavam um arquivo MSI malicioso como parte de uma cadeia de infecção em vários estágios. A Huntress afirma que pelo menos 40 usuários foram infectados na campanha, e pelo menos dois dos incidentes estão ligados a uma instância de GPT personalizado. A OpenAI removeu o GPT personalizado em 25 de setembro, mas um segundo foi descoberto em 27 de setembro.
Vítimas chegaram ao GPT por anúncio patrocinado no Google
As vítimas acessaram o GPT personalizado depois de pesquisar “ChatGPT” no Google e receber a página como resultado patrocinado no topo da busca. Para enganar as vítimas, os atacantes intitularam o GPT personalizado “Plus 5.6” e alegaram que ele vinha de um “construtor da comunidade”. O usuário recebia um aviso falso alegando disponibilidade limitada pelo domínio principal e solicitando uma atualização ou o uso do serviço por um domínio de backup. Hospedado em uma página do Google Sites, o falso domínio de backup exibia uma verificação de CAPTCHA da Cloudflare, parte do ataque ClickFix, instruindo a vítima a executar um comando PowerShell para baixar e executar um instalador malicioso.
Cadeia de infecção usa aplicativo assinado da Canon
O primeiro GPT personalizado serviu um instalador que abusava de um aplicativo legítimo assinado pela Canon para sideloading de DLL e estabelecia persistência por meio de uma chave User Run e uma tarefa agendada disfarçada de “Canon Configuration Reader”. A cadeia de infecção continuava com um carregador escondido em um arquivo de áudio, projetado para contornar proteções de segurança, realizar verificações no sistema e exibir uma janela de carregamento falsa. No estágio seguinte, o código malicioso era carregado de um arquivo de áudio fortemente ofuscado contendo um arquivo personalizado com 315 pastas e 806 arquivos, incluindo o payload final, um RAT capaz de buscar, processar e executar vários tipos de payloads. O malware coletava impressões digitais do sistema infectado e se conectava ao servidor de comando e controle usando DNS-over-HTTPS por meio da Cloudflare, Google e Quad9.
Segundo GPT muda técnica de infecção
Embora o payload final servido pelo segundo GPT personalizado tenha permanecido inalterado, o ator de ameaças mudou para um executável da Stardock e uma DLL da Stardock modificada para a infecção, e colocou o carregador em um pacote NuGet da Microsoft em vez de um arquivo de áudio. A Huntress observa que os atores de ameaças estão obtendo sucesso nesse abuso específico de GPTs personalizados para engenharia social e continuam a depender dessa técnica.
