Μια νέα καμπάνια κυβερνοεγκληματιών αξιοποιεί την αξιοπιστία του ChatGPT για να παρασύρει χρήστες σε μια πολυεπίπεδη επίθεση, η οποία καταλήγει στην εγκατάσταση κακόβουλου λογισμικού απομακρυσμένης πρόσβασης. Εξειδικευμένες εκδοχές του ChatGPT, οι οποίες προωθούνται μέσω χορηγούμενων αποτελεσμάτων της Google, κατευθύνουν ανυποψίαστους χρήστες σε κακόβουλους ιστότοπους που χρησιμοποιούν επιθέσεις τύπου «ClickFix» για την εγκατάσταση του malware.
Ο δράστης εκμεταλλεύεται μια νόμιμη λειτουργία της πλατφόρμας τεχνητής νοημοσύνης, τα custom GPTs που επιτρέπουν στους χρήστες να δημιουργούν μια έκδοση του ChatGPT προσαρμοσμένη σε μια συγκεκριμένη εργασία, συνδυάζοντας οδηγίες, πρόσθετες γνώσεις και δεξιότητες.
Η εκστρατεία εντοπίστηκε από την Huntress, η οποία αναφέρει ότι έχει διερευνήσει τουλάχιστον 40 περιστατικά που συνδέονται με τη συγκεκριμένη υποδομή. Η χρήση ενός custom GPT, ως αρχικού σημείου της επίθεσης, προσθέτει ένα νέο επίπεδο κοινωνικής μηχανικής σε μια τεχνική που χρησιμοποιείται ήδη ευρέως από τους κυβερνοεγκληματίες.
Δείτε επίσης: MCP Python SDK: Κλοπή OAuth credentials από κακόβουλους servers
Το δόλωμα κρύβεται μέσα σε ένα GPT
Οι επιτιθέμενοι αξιοποίησαν τη δυνατότητα δημιουργίας προσαρμοσμένων εκδόσεων του ChatGPT, σχεδιασμένων για συγκεκριμένες εργασίες. Ένα από τα κακόβουλα GPT έφερε την ονομασία «Plus 5.6» και χρησιμοποιούνταν ως ενδιάμεσος σταθμός για την καθοδήγηση των θυμάτων.
Ο χρήστης που έφτανε στο GPT μέσω της Google κατευθυνόταν σε έναν υποτιθέμενο ιστότοπο δημιουργίας αντιγράφων ασφαλείας, ο οποίος φιλοξενούνταν στο Google Sites. Η επιλογή νόμιμων υπηρεσιών και domains σε διαφορετικά στάδια της επίθεσης δεν είναι τυχαία, καθώς μπορεί να κάνει την αλυσίδα να φαίνεται πιο αξιόπιστη σε έναν ανυποψίαστο επισκέπτη.
Στη συνέχεια, η σελίδα εμφάνιζε έναν ψεύτικο έλεγχο Cloudflare. Αντί όμως να ολοκληρωθεί κάποια πραγματική διαδικασία επαλήθευσης, το θύμα καλούνταν να εκτελέσει μια εντολή PowerShell.
Το ClickFix μετατρέπει τον χρήστη σε «εκτελεστή»
Εδώ βρίσκεται η ουσία της τεχνικής ClickFix. Αντί το κακόβουλο λογισμικό να εγκατασταθεί αποκλειστικά μέσω ενός παραδοσιακού exploit, ο χρήστης παραπλανάται ώστε να εκτελέσει ο ίδιος μια εντολή.
Η συγκεκριμένη προσέγγιση είναι ιδιαίτερα αποτελεσματική επειδή η ενέργεια παρουσιάζεται ως απαραίτητο βήμα για την επίλυση ενός υποτιθέμενου τεχνικού προβλήματος ή για την ολοκλήρωση ενός ελέγχου ασφαλείας. Στην πραγματικότητα, η εντολή ενεργοποιεί την επόμενη φάση της μόλυνσης.
Η Huntress έχει καταγράψει και στο παρελθόν παρόμοιες επιθέσεις με παραπλανητικές συνομιλίες στο ChatGPT. Η αξιοποίηση όμως προσαρμοσμένων GPT αποτελεί διαφορετική προσέγγιση, καθώς το κακόβουλο περιεχόμενο φιλοξενείται μέσα σε μια λειτουργία που σχετίζεται άμεσα με την επίσημη πλατφόρμα.
Από το PowerShell στο RAT
Εφόσον ο χρήστης εκτελέσει την εντολή, ξεκινά μια πολυσταδιακή διαδικασία. Το PowerShell εγκαθιστά ένα κακόβουλο αρχείο MSI, το οποίο στη συνέχεια χρησιμοποιεί μια νόμιμα υπογεγραμμένη εφαρμογή σε συνδυασμό με ένα τροποποιημένο DLL για να φορτώσει το τελικό payload.
Το αποτέλεσμα είναι η εγκατάσταση ενός Remote Access Trojan (RAT). Το συγκεκριμένο κακόβουλο λογισμικό μπορεί να παρέχει στους επιτιθέμενους απομακρυσμένη πρόσβαση στην επιφάνεια εργασίας, δυνατότητες καταγραφής ήχου και εικόνας μέσω της κάμερας, αναζήτηση αρχείων και συλλογή πληροφοριών για το σύστημα.
Δείτε επίσης: Το RatHat Android Malware Console χρησιμοποιεί το Gemini για τον εντοπισμό θυμάτων
Παράλληλα, μπορεί να χρησιμοποιηθεί για την εγκατάσταση επιπλέον κακόβουλων payloads, μετατρέποντας μια αρχική εξαπάτηση σε ευρύτερη παραβίαση του υπολογιστή.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Μηχανισμοί persistence στο Windows Registry
Οι δράστες έχουν λάβει μέτρα ώστε το malware να παραμένει ενεργό ακόμη και μετά από επανεκκίνηση του συστήματος. Συγκεκριμένα, δημιουργείται νέο Run key στο Windows Registry, ενώ παράλληλα εγκαθίσταται ένα scheduled task.
Και οι δύο μηχανισμοί χρησιμοποιούν την ονομασία «Canon Configuration Reader», γεγονός που μπορεί να βοηθήσει στην απόκρυψη της κακόβουλης δραστηριότητας ανάμεσα σε νόμιμα στοιχεία ενός συστήματος.
Η καμπάνια παρουσίασε επίσης αλλαγές στην πορεία της. Η πρώτη προσαρμοσμένη GPT παραλλαγή αποσύρθηκε από την OpenAI έως τις 25 Σεπτεμβρίου, όμως στις 27 Σεπτεμβρίου η Huntress εντόπισε δεύτερο GPT που συνδεόταν με την ίδια υποδομή.
Προσαρμοσμένο κρυπτογραφημένο αρχείο κρύβει το payload
Ένα από τα πιο ενδιαφέροντα τεχνικά στοιχεία της επίθεσης είναι ο τρόπος με τον οποίο οι δράστες αποκρύπτουν μέρος της υποδομής τους. Σύμφωνα με την Huntress, δημιούργησαν ένα προσαρμοσμένο κρυπτογραφημένο σύστημα αρχείων, μέσα στο οποίο βρίσκονται τόσο το script που εξασφαλίζει persistence όσο και το RAT.
Η δομή θυμίζει αυτοσχέδιο κρυπτογραφημένο archive, με κεφαλίδα, ευρετήριο 1.128 καταχωρίσεων και τα δεδομένα των αρχείων τοποθετημένα διαδοχικά. Η προσέγγιση αυτή δυσκολεύει την απλή ανάλυση των αρχείων και δείχνει ότι η επίθεση έχει σχεδιαστεί ώστε να παρακάμπτει παραδοσιακούς μηχανισμούς εντοπισμού.
Δείτε επίσης: Οι χάκερ χρησιμοποιούν το NeedyMantis για διατήρηση μακροχρόνιας πρόσβασης σε παραβιασμένα δίκτυα
Τι πρέπει να προσέχουν οι χρήστες
Για τους χρήστες, το σημαντικότερο συμπέρασμα είναι ότι κανένας έλεγχος Cloudflare ή παρόμοια διαδικασία επαλήθευσης δεν θα πρέπει να απαιτεί την εκτέλεση τυχαίων εντολών PowerShell. Εντολές που αντιγράφονται από ιστοσελίδες και εκτελούνται χειροκίνητα αποτελούν σημαντικό προειδοποιητικό σημάδι.
Η Huntress επισημαίνει επίσης συγκεκριμένα σημεία που μπορούν να αξιοποιήσουν οι ομάδες ασφαλείας για ανίχνευση. Μεταξύ αυτών είναι η ασυνήθιστη εκτέλεση του msiexec.exe μέσω PowerShell, η εκκίνηση υπογεγραμμένων εφαρμογών από μη αναμενόμενες τοποθεσίες, καθώς και ύποπτες τιμές στο Registry και scheduled tasks που επανεμφανίζονται μετά τη διαγραφή τους.
Η συγκεκριμένη εκστρατεία αναδεικνύει ένα ευρύτερο πρόβλημα: η αξιοπιστία των δημοφιλών πλατφορμών AI μπορεί να χρησιμοποιηθεί ως μέρος μιας επίθεσης κοινωνικής μηχανικής. Το γεγονός ότι ένα link ή μια οδηγία εμφανίζεται μέσα από το οικοσύστημα μιας γνωστής υπηρεσίας δεν σημαίνει από μόνο του ότι είναι ασφαλές. Για αυτό, η επαγρύπνηση παραμένει κρίσιμη, ιδιαίτερα όταν ζητείται από τον χρήστη να εκτελέσει εντολές στο λειτουργικό του σύστημα.
πηγή: www.bleepingcomputer.com
