Gli attaccanti sfruttano i link di Claude e ChatGPT per diffondere malware

Gli attori delle minacce stanno trasformando piattaforme AI affidabili come Claude e ChatGPT in una superficie d'attacco, abusando di link di condivisione legittimi, mini-app pubbliche e posizionamenti pubblicitari nei motori di ricerca per distribuire malware, secondo un nuovo report di Huntress Labs. Negli ultimi nove mesi, il Security Operations Center (SOC) di Huntress ha monitorato incidenti in cui gli attaccanti hanno trasformato in armi contenuti AI condivisibili, mini-app pubbliche sulle piattaforme AI e posizionamenti pubblicitari nei motori di ricerca per colpire gli utenti AI e distribuire malware. Secondo Huntress, il rischio quotidiano più grande deriva dagli attaccanti che abusano delle funzionalità AI di cui le persone già si fidano e che già utilizzano, piuttosto che da attacchi diretti alle stesse aziende di AI o ai modelli linguistici sottostanti.

Le funzionalità abusate sono tutte parti reali di servizi AI ampiamente utilizzati. I Claude Artifacts sono contenuti che l'assistente Claude genera e mostra in un pannello di anteprima della chat, e che gli utenti possono pubblicare tramite un link pubblico. I link claude.ai/share sono URL condivisibili creati quando qualcuno pubblica una conversazione con Claude; questi link possono comparire nei motori di ricerca quando vengono pubblicati in luoghi scansionabili come forum o social media. Le conversazioni condivise di ChatGPT e Grok sono conversazioni pubbliche e indicizzabili ospitate su chatgpt.com e grok.com, e possono posizionarsi bene nelle ricerche di risoluzione dei problemi. Ognuna di queste pagine si trova all'interno di un confine di fiducia. Un visitatore riconosce la piattaforma, il marchio e il contenuto circostante, quindi istruzioni o download malevoli sembrano legittimi anche quando non lo sono.

Una campagna chiamata FakeAgent illustra come un Artifact pubblico possa diventare una pagina di distribuzione di malware. A luglio, Huntress ha rilevato che FakeAgent ha colpito più di 29 organizzazioni. È iniziata con un Artifact Claude malevolo ospitato sul dominio reale claude.ai. Poiché gli Artifact pubblici sono pensati per demo leggere e ricevono una verifica minima da Anthropic al di là di un avviso generico, gli attaccanti hanno costruito all'interno di quell'Artifact una convincente falsa pagina di download di Claude Desktop. Le vittime che cercavano su Bing l'app desktop di Claude sono finite sulla pagina falsa e hanno cliccato quello che sembrava un link di download legittimo. Invece, sono state reindirizzate a un dominio esterno che distribuiva il malware SectopRAT, uno strumento di accesso remoto che dà agli attaccanti il controllo su una macchina infetta. Huntress ha segnalato l'Artifact e Anthropic lo ha rimosso entro il 22 luglio, ma gli incidenti legati allo stesso dominio di reindirizzamento sono proseguiti fino ad agosto.

Un incidente separato ha abusato di un link claude.ai/share in modo diverso. Una vittima che cercava su Google "Claude on Mac" ha cliccato un risultato sponsorizzato che portava a un link claude.ai/share che si spacciava per una guida all'installazione di Apple Support. Poiché la pagina si trovava sul dominio di Anthropic stesso, non presentava i soliti segnali d'allarme: nessun URL simile, nessun avviso di certificato. La guida falsa istruiva la vittima a incollare un comando curl nel Terminale, il programma testuale su Mac in cui i comandi digitati vengono eseguiti direttamente. Quel comando avviava una catena in sei fasi che distribuiva il MacSync stealer, un tipo di malware che raccoglie dati privati dal computer infetto. Huntress riferisce che il MacSync stealer ha raccolto cookie, credenziali, segreti del portachiavi, sessioni Telegram e chiavi SSH e cloud.

Un terzo schema prende di mira proprio i consigli di risoluzione dei problemi generati dall'AI. A dicembre, una normale ricerca di "clear disk space on macOS" ha fatto emergere conversazioni ChatGPT e Grok in cima ai risultati che fornivano istruzioni in stile ClickFix invece di vere soluzioni. ClickFix è uno stile di truffa che mostra istruzioni false e dice all'utente di eseguire un comando o cliccare un pulsante "fix", ma il comando in realtà installa malware. Gli attaccanti avevano creato le conversazioni, cliccato il pulsante di condivisione per generare un URL pubblico sul dominio affidabile della piattaforma e usato l'SEO poisoning per spingere il link in cima ai risultati di Google. L'SEO poisoning significa ingannare i motori di ricerca per far posizionare pagine malevole vicino alla cima. Poiché i link si trovavano su domini reali chatgpt.com e grok.com, le vittime si sono fidate dei consigli ed hanno eseguito i comandi suggeriti nel Terminale, che distribuivano l'AMOS stealer, un'altra famiglia di malware che ruba dati.

Nessuno di questi attacchi ha violato i controlli di sicurezza delle stesse piattaforme AI, sottolinea Huntress. Invece, hanno sfruttato la fiducia che gli utenti ripongono in marchi familiari e domini reali. I difensori dovrebbero considerare l'esecuzione guidata dagli appunti e la risoluzione dei problemi assistita dall'AI come rischi per la sicurezza. L'esecuzione guidata dagli appunti significa eseguire comandi copiati e incollati da una pagina web. Huntress raccomanda di limitare l'esecuzione di script dagli appunti e di applicare l'application allow-listing, un'impostazione di sicurezza che consente l'esecuzione solo dei programmi approvati su un dispositivo. I team di sicurezza dovrebbero anche monitorare nuove attività pianificate e modifiche alle esclusioni dell'antivirus, e formare gli utenti a riconoscere le esche in stile ClickFix. Segnalare rapidamente al fornitore della piattaforma i contenuti sospetti ospitati su servizi AI può ridurre la durata di una campagna. Per gli amministratori che desiderano aggiungere un punto di controllo a livello di rete, AEU DNS fornisce una risoluzione DNS privata e sicura.

Queste campagne tendono ad essere di breve durata, spesso attive solo per ore o giorni prima che un fornitore rimuova il contenuto, ma è tempo sufficiente per ingannare le vittime prima di essere scoperti. La segnalazione rapida e i controlli a più livelli possono ridurre la finestra che gli attaccanti hanno per sfruttarle. I proprietari di siti web e gli utenti comuni dovrebbero considerare qualsiasi pagina web, anche una su un dominio familiare, come non attendibile quando chiede di eseguire un comando o scaricare un file.