Автор: Влад Черевко Цікавлюся різного роду електронікою і технологіями з початку 2000-х. Регулярно стежу за технологічними новинами світу і сам пишу матеріали про це.
Категорії: Кібербезпека, Хакерські атаки, ChatGPT
Фахівці з кібербезпеки компанії Huntressповідомилипро нову хакерську кампанію, у якій зловмисники застосовують спеціально створені моделі ChatGPT для розповсюдження шкідливого програмного забезпечення. Про цепишеBleepingComputer.
Схема базується на використанні рекламних оголошень у Google, що перенаправляють користувачів на підроблені чатботи, які запускають атаки типу ClickFix та встановлюють троян віддаленого доступу (RAT).
За даними дослідників, користувачі, які шукають ChatGPT у Google, можуть натрапити на рекламне посилання, що веде до кастомного чатбота під назвою Plus 5.6, розміщеного на офіційному домені OpenAI, що створює враження безпечності ресурсу.
Після початку діалогу бот видає повідомлення про перевантаження серверів і пропонує перейти на резервний сайт у Google Sites. Там користувач стикається з фальшивою перевіркою Cloudflare, яка змушує скопіювати рядок коду та вставити його у PowerShell. Виконання команди призводить до непомітного завантаження інсталятора ISOSimple.msi, що запускає процес зараження.
Щоб уникнути виявлення антивірусами, зловмисники застосовують легальні програми для прихованого запуску шкідливого коду. Спершу вони використовували підписаний додаток Canon (COTFileReadApp.exe), маскуючи вірус у файлі формату .WAV. Пізніше перейшли на виконуваний файл Stardock та сховали код у пакеті Microsoft NuGet.
Після встановлення основного компонента на комп’ютері жертви запускається RAT, який надає хакерам віддалений доступ до робочого столу, камери, мікрофона та файлів. Для забезпечення стійкості програми створюється новий ключ у реєстрі Windows та завдання Canon Configuration Reader, яке активується при кожному перезавантаженні системи.
Huntress зафіксувала понад 40 випадків, пов’язаних із цією схемою, два з яких безпосередньо були пов’язані з кастомними GPT. OpenAI видалила першу модель 25 вересня, однак вже через два дні дослідники виявили новий варіант. Це відбувається на тлі оголошеногопланукомпанії щодо припинення підтримки кастомних GPT 11 грудня, що свідчить про прагнення хакерів максимально використати можливості функції до її закриття.
