Custom GPT-të e rreme të ChatGPT shpërndajnë RAT përmes karremave ClickFix

Studiuesit e sigurisë në Huntress kanë zbuluar një fushatë në të cilën sulmuesit po abuzojnë me Custom GPT-të e ChatGPT, versionet e personalizuara të asistentit të njohur të AI, për të maskuar aktivitetin keqdashës si oferta legjitime produktesh. Sulmuesit i drejtojnë viktimat në sajte të jashtme që përdorin një teknikë të njohur si ClickFix për t'i mashtruar që të kopjojnë dhe ekzekutojnë një komandë keqdashëse, e cila në fund instalon një trojan të qasjes në distancë (RAT). Huntress vëzhgoi aktivitetin në fund të shtatorit 2026, duke vënë në dukje se ky është një tjetër rast i aktorëve të kërcënimit që armatosin veçoritë brenda platformave të besuara të AI. Fushatat e mëparshme kanë abuzuar me bisedat e përbashkëta me chatbot-et e AI dhe me Artifaktet keqdashëse të Claude për të shpërndarë malware vjedhës dhe RAT-e.

Custom GPT-të janë versione të përcaktuara nga përdoruesi të ChatGPT që lejojnë individët të vendosin udhëzime të personalizuara, të ngarkojnë skedarë referencë dhe të aktivizojnë aftësi specifike pa asnjë kodim. Ato janë të pritura në faqen e internetit legjitime të ChatGPT, me emrin e Custom GPT të shfaqur në krye. Në incidentet që vëzhgoi Huntress, viktimat ndërvepruan me një Custom GPT të krijuar nga sulmuesi që ishte programuar të përgjigjej ndaj çdo kërkese me një mesazh që përmbante një lidhje Google Sites. Kjo lidhje çoi në një sulm të stilit ClickFix, i cili rezultoi në shkarkimin dhe ekzekutimin e një instaluesi keqdashës MSI. Jo më pak se 40 përdorues janë infektuar si pjesë e kësaj fushate.

Sulmi fillon kur përdoruesit klikojnë në një rezultat kërkimi të sponsorizuar për terma si 'chatgpt' në Google. U identifikuan dy lidhje Custom GPT: chatgpt[.]com/g/g-6ab595ad6554819181b686d4876efb80-plus-5-6 dhe chatgpt[.]com/g/g-6ab6ba039440819185ed491740b11cf8-plus-5-6. Përdoruesve që ndërveprojnë me Custom GPT-në e quajtur 'Plus 5.6' u shfaqet një 'Njoftim i Disponueshmërisë së Shërbimit' që u thotë ose të përmirësojnë nivelin e abonimit ose të lundrojnë në një domen rezervë Google Sites për shkak të 'disponueshmërisë së kufizuar në domenin kryesor.' Për të inkurajuar opsionin rezervë, njoftimi shfaq mesazhin: 'Ne rekomandojmë përdorimin e domenit rezervë nëse keni nevojë për qasje të menjëhershme.' Nëse viktima vazhdon, domeni Google Sites paraqet një kontroll të rremë CAPTCHA të Cloudflare që shkakton sulmin ClickFix, duke i mashtruar ata që të kopjojnë dhe ekzekutojnë një komandë keqdashëse PowerShell. Kjo komandë vendos një instalues MSI të quajtur 'ISOSimple.msi', i cili abuzon me një ekzekutues të nënshkruar legjitim nga Canon të quajtur 'COTFileReadApp.exe' për të ngarkuar anash një DLL mashtruese të quajtur 'ceiinfolog.dll'. Huntress shpjegon se DLL-ja është DLL-ja e vërtetë e Canon që është ndryshuar për të ngarkuar një DLL të dytë të panënshkruar të quajtur 'rdCore.dll', e cila pastaj nxjerr një ngarkues të koduar nga një skedar audio .WAV i quajtur 'Common.Integrator.Preview.wav'. Ndërsa futja e ngarkesave brenda formateve audio dhe video nuk është e re, ngarkesat e fshehura në WAV janë lidhur më parë me fushatat e Octowave Loader.

Në fazën përfundimtare, shellcode-i i ngarkuesit shpaketon trojanin dhe një skript persistence nga një sistem skedarësh i koduar i quajtur 'monitor.raw', por jo para se të anashkalojë AMSI (Antimalware Scan Interface), të ç'kyçë 'ntdll.dll' për t'i shpëtuar monitorimit të nivelit përdorues nga programet e sigurisë, dhe të kryejë kontrolle anti-makinë virtuale duke kërkuar vargje identifikuese të CPU-së të lidhura me drejtuesit dhe shërbimet e VMware, VirtualBox, Hyper-V, QEMU, Xen dhe Parallels. Vetë trojani mbështet një gamë të gjerë veçorish, duke përfshirë dokumentimin e antivirusit të instaluar dhe statusit të Microsoft Defender, kapjen e informacionit të profilit të sistemit, ekzekutimin e sesioneve të desktopit në distancë dhe transmetimeve të ekranit, kapjen e hyrjes së kamerës, mikrofonit dhe audios së sistemit, njohjen e 17 shfletuesve të internetit dhe nisjen e atij të parazgjedhur, kërkimin e përmbajtjeve të skedarëve në të gjithë sistemin duke përdorur një komponent të integruar menaxheri skedarësh, dhe hedhjen dhe ekzekutimin e ngarkesave dytësore si skedarë EXE, DLL dhe MSI, si dhe skripte PowerShell, batch, VBScript dhe JavaScript. Për të gjetur serverin e tij të komandës dhe kontrollit (C2), të cilin autorët e malware e quajnë 'Gate', RAT-i përdor DNS-over-HTTPS (DoH) përmes zgjidhësve Cloudflare, Google dhe Quad9. Huntress vëren se këto kërkime udhëtojnë brenda trafikut të zakonshëm HTTPS drejt zgjidhësve të njohur, kështu që nuk shfaqen kurrë në regjistrat lokalë të DNS. Dyshohet se detajet e serverit janë të fshehura thellë brenda kodit në formë të koduar ose merren në kohën e ekzekutimit. RAT-i gjithashtu është gjetur vazhdimisht të hedhë një ekzekutues të nënshkruar legjitimisht të quajtur 'GOMCam2024.exe' që nis Google Chrome me një profil shfletuesi të përkohshëm të vendosur në direktorinë '%TEMP%'.

Gjetjet përkojnë me zbulimin e fushatave të shumta të orientuara nga ClickFix në natyrë. Një fushatë përdor faqe phishing të pritura në Google Sites që imitojnë OpenAI Codex dhe Anthropic Claude për të krijuar besim dhe për të shërbyer një kërkesë instalimi të rreme, e cila përdor ClickFix për të shpërndarë dhe ekzekutuar malware vjedhës drejtpërdrejt në memorie. Ai vjedhës mund të identifikojë hostin dhe të kontaktojë një domen të jashtëm për të marrë ngarkesa të fazës së ardhshme për vjedhjen e të dhënave dhe të portofoleve të kriptomonedhave. Një fushatë tjetër përfshin një faqe interneti të komprometuar ka gjasa që përdor EtherHiding për të marrë JavaScript që shërben një kërkesë verifikimi të rreme ClearFake reCAPTCHA, duke i detyruar viktimat të ekzekutojnë një komandë keqdashëse që hap një shteg WebDAV dhe merr një DLL. Ngarkesa DLL fillon një proces shumëfazor për të hedhur Amatera Stealer, i cili thith të dhëna të ndjeshme dhe ekzekuton tre ngarkesa dytësore: një ngarkues NativeAOT, ZigCryptoStealer dhe një përfaqësues të kundërt TCP në Go. Një tjetër ndërtim i vjedhësit është gjetur të instalojë NetSupport Manager. Disa nga këto sulme kanë shënjestruar sistemet e qeverisë ukrainase dhe i atribuohen një grupi aktivitetesh të lidhur me Rusinë të gjurmuar si UAT-10820. Një fushatë e tretë përdor malvertising, email-e phishing dhe një faqe interneti me pakicë të komprometuar për t'i drejtuar përdoruesit në një faqe të rreme ndërmjetëse Cloudflare të vendosur në një ofrues pritjeje të blinduar (AS202412, i regjistruar në OMEGATECH LTD me bazë në Seychelles). Kjo shpërndan ngarkesa keqdashëse, duke përfshirë një instalues të trojanizuar që hedh një vjedhës informacioni, një implant Node.js dhe një skript batch që vendos persistence përmes një çelësi regjistri Windows Active Setup. Një fushatë e katërt ClickFix, aktive që të paktën nga nëntori 2025, përdor një grup prej 31 faqesh biznesi të komprometuara për të shfaqur një karrem të rremë CAPTCHA që shpërndan një hedhës. Hedhësi ekzekuton një skript PowerShell për të vendosur persistence dhe një agjent C2 që përdor EtherHiding duke pyetur blockchain-in Polygon për të identifikuar serverin C2, të cilin pastaj e përdor për të marrë dhe ekzekutuar komanda arbitrare PowerShell. GuidePoint Security shtoi se ajo që filloi si një backdoor i qasjes në distancë për qëllime të përgjithshme është vëzhguar që atëherë të shpërndajë një trojan bankar në kohë reale të aftë për të përgjuar kredencialet e hyrjes dhe kodet me dy faktorë nga bankat kryesore dhe shkëmbimet e kriptomonedhave ndërsa viktimat i shtypin ato.

Për pronarët e faqeve të internetit dhe ekipet e TI-së, përdorimi i DNS-over-HTTPS nga RAT-i për të fshehur trafikun e tij të komandës dhe kontrollit ilustron pse dukshmëria në pyetjet DNS është e rëndësishme. Një shërbim DNS i sigurt dhe privat si AEU DNS (https://aeu-dns.com) mund të ndihmojë përdoruesit të shmangin mbështetjen në zgjidhës publikë që ofrojnë më pak transparencë, megjithëse asnjë shërbim i vetëm nuk mund të bllokojë të gjitha sulmet e tilla. Qëndrimi vigjilent ndaj inxhinierisë sociale mbetet thelbësor.