Złośliwy Custom GPT na chatgpt.com z reklam Google instaluje trojana RAT

Przestępcy wykorzystują sponsorowane wyniki Google, żeby kierować użytkowników do złośliwego Custom GPT o nazwie „Plus 5.6”, umieszczonego na prawdziwej stronie chatgpt.com. Zespół SOC firmy Huntress obsłużył co najmniej 40 incydentów związanych z domeną Google Sites użytą w tym ataku, z czego dwa potwierdzono jako wejście przez Custom GPT. Custom GPT informował, że usługa jest niedostępna, i odsyłał do „domeny zapasowej” w Google Sites. Tam fałszywa weryfikacja CAPTCHA Cloudflare prosiła o skopiowanie i uruchomienie polecenia w Terminalu (atak ClickFix). Polecenie kończyło się instalacją trojana RAT ładowanego przez podpisane pliki wykonywalne Canon, a w późniejszej fali Stardock. OpenAI usunęło pierwszy Custom GPT, ale przestępcy szybko założyli drugi.

Kogo dotyczy

Użytkowników, którzy wpisali w Google „chatgpt” i kliknęli link sponsorowany. Kampanię wykryto pod koniec września. Drugi Custom GPT nadal działa, choć według Help Net Security nie prowadzi już do pułapki ClickFix. Badacze podają, że napastnicy pracują nad nowym instalatorem.