Angreifer missbrauchten die Funktion für benutzerdefinierte GPTs in ChatGPT, um Nutzer auf bösartige Websites zu leiten, die ClickFix-Angriffe ausführten und Remote-Access-Malware (RAT) verbreiteten, wie aus einer Untersuchung des Unternehmens Huntress hervorgeht. Die bösartigen Modelle erschienen in bezahlten Google-Suchergebnissen und erhielten dadurch die Möglichkeit, Nutzer zu erreichen, die nach spezialisierten Tools oder Assistenten suchten.
Benutzerdefinierte GPTs ermöglichen die Erstellung von ChatGPT-Versionen, die zusätzliche Anweisungen, Kenntnisse und Fähigkeiten bündeln. Sie können außerdem veröffentlicht werden, damit andere sie verwenden. Die Angreifer nutzten diese Funktion, um ein Modell mit dem Namen Plus 5.6 zu erstellen, das Nutzer auf eine angebliche Backup-Website leitete, die auf Google Sites gehostet wurde.
Infektionskette
Die gefälschte Seite zeigte eine vorgetäuschte Prüfung durch Cloudflare an und forderte den Besucher anschließend auf, einen PowerShell-Befehl auszuführen. Durch die Ausführung des Befehls wurde eine bösartige MSI-Datei installiert, die eine digital signierte legitime Anwendung zusammen mit einer modifizierten DLL aufrief, um die Schadsoftware zu laden.
Das Hosten der bösartigen Anweisungen unter der Domain ChatGPT.com verlieh der Kampagne zusätzliche Glaubwürdigkeit, wodurch die Wahrscheinlichkeit steigen konnte, dass das Opfer den Anweisungen folgte. Die daraus resultierende RAT-Malware bietet Möglichkeiten für den Fernzugriff auf den Desktop, die Aufnahme von Audio und Bildern über die Kamera, die Suche nach Dateien, das Sammeln von Informationen über den Host sowie das Ausführen zusätzlicher Payloads.
Was hat sich an der Vorgehensweise geändert?
Huntress hatte bereits zuvor ClickFix-Angriffe beobachtet, die mit irreführenden ChatGPT-Konversationen verbunden waren. Die Verwendung benutzerdefinierter GPTs stellt in dieser Kampagne jedoch eine neue Vorgehensweise dar. Um die Persistenz aufrechtzuerhalten, legt die Malware einen Run-Wert in der Windows-Registrierung und eine geplante Aufgabe an, die beide den Namen Canon Configuration Reader tragen.
Huntress erklärte, mindestens 40 Vorfälle untersucht zu haben, die eine Verbindung zu einer Google-Sites-Seite herstellten. Allerdings bestätigte das Unternehmen nur zwei Fälle, die mit einer benutzerdefinierten GPT-Version verbunden waren. OpenAI entfernte das erste Modell bis zum 25. September. Am 27. September fanden die Forscher jedoch ein zweites mit der Kampagne verbundenes Modell, das bei Veröffentlichung des Berichts noch aktiv war.
Die neueren Versionen verwendeten statt einer von Canon signierten Anwendung eine von Stardock signierte Host-Anwendung. Dabei wurde die Methode zum Verbergen und Ausliefern des Loaders verändert, während die endgültige Payload gleich blieb. Außerdem verbargen die Angreifer das Persistenzskript und die RAT in einem speziell angelegten verschlüsselten Dateisystem, das einen Verzeichnisbaum und einen Index mit 1.128 Dateien und Ordnern enthielt.
Indikatoren, die Verteidiger überwachen können
- Ausführung von PowerShell für den Prozess msiexec.exe mit dem Ziel, eine MSI-Datei still aus einem temporären Ordner zu installieren.
- Start einer digital signierten Anwendung aus einem ungewöhnlichen Pfad unterhalb von %LOCALAPPDATA%\Programs\.
- Erneutes Auftreten eines Registry-Werts und einer geplanten Aufgabe mit demselben Namen nach deren Löschung.
- Überwachung der Prozessaktivität, da große Teile der Infektionskette im Speicher ausgeführt werden oder scheinbar unauffällige Dateien verwenden.
Warum ist diese Nachricht wichtig?
Die Kampagne zeigt, dass das Vertrauen in eine legitime Domain oder eine digitale Signatur allein nicht ausreicht, um die Sicherheit von Anweisungen oder einer Anwendung zu beurteilen. Das praktische Risiko liegt nicht im benutzerdefinierten GPT selbst, sondern in seiner Verwendung als vertrauenswürdige Oberfläche, um das Opfer zur Ausführung lokaler Befehle zu bewegen. Die genaue Zahl der tatsächlichen Opfer und das Ausmaß der Verbreitung außerhalb der von Huntress beobachteten Fälle bleiben in dem verfügbaren Material ungeklärt.