Des attaquants ont exploité la fonctionnalité des GPT personnalisés de ChatGPT pour rediriger les utilisateurs vers des sites malveillants qui exécutent des attaques ClickFix et déploient un logiciel de contrôle à distance (RAT), selon une enquête menée par la société Huntress. Les modèles malveillants sont apparus dans les résultats de recherche Google payants, donnant à la campagne la possibilité d’atteindre des utilisateurs à la recherche d’outils ou d’assistants spécialisés.
Les GPT personnalisés permettent de créer des versions de ChatGPT combinant des instructions, des connaissances et des compétences supplémentaires, et peuvent également être publiés pour être utilisés par d’autres personnes. Les attaquants ont exploité cette fonctionnalité pour créer un modèle nommé Plus 5.6, qui redirigeait les utilisateurs vers un prétendu site de secours hébergé sur Google Sites.
Chaîne d’infection
La fausse page affiche une fausse vérification Cloudflare, puis demande au visiteur d’exécuter une commande PowerShell. L’exécution de la commande entraîne l’installation d’un fichier MSI malveillant, qui appelle une application légitime signée numériquement ainsi qu’une DLL modifiée pour charger le logiciel malveillant.
L’hébergement des instructions malveillantes sur le domaine ChatGPT.com confère à la campagne une crédibilité supplémentaire, ce qui peut accroître la probabilité que la victime suive les instructions. Le RAT obtenu offre des capacités d’accès à distance au bureau, de capture audio et d’images depuis la caméra, de recherche de fichiers, de collecte d’informations sur l’hôte et d’exécution de charges utiles supplémentaires.
Qu’est-ce qui a changé dans la méthode ?
Huntress avait déjà observé des attaques ClickFix liées à des conversations ChatGPT trompeuses, mais l’utilisation de GPT personnalisés constitue une nouvelle approche dans cette campagne. Pour assurer sa persistance, le logiciel malveillant crée une valeur Run dans le registre Windows et une tâche planifiée portant le nom Canon Configuration Reader.
Huntress a déclaré avoir enquêté sur au moins 40 incidents s’étant connectés à la page Google Sites, mais a confirmé que seuls deux cas étaient liés à une version de GPT personnalisée. OpenAI a supprimé le premier modèle au plus tard le 25 septembre, mais les chercheurs ont découvert le 27 septembre un deuxième modèle lié à la campagne, qui était toujours actif au moment de la publication du rapport.
Les versions plus récentes utilisaient une application hôte signée par Stardock au lieu d’une application signée par Canon, avec des changements dans la méthode de dissimulation et de livraison du module de chargement, tandis que la charge utile finale restait la même. Les attaquants ont également dissimulé le script de persistance et le RAT dans un système de fichiers chiffré personnalisé, comprenant une arborescence de dossiers et un index contenant 1,128 fichiers et dossiers.
Indicateurs que les défenseurs peuvent surveiller
- Exécution de PowerShell pour un processus msiexec.exe afin d’installer silencieusement un MSI depuis un dossier temporaire.
- Lancement d’une application signée numériquement depuis un chemin inhabituel sous %LOCALAPPDATA%\Programs\.
- Réapparition d’une valeur de registre et d’une tâche planifiée portant le même nom après leur suppression.
- Surveillance de l’activité des processus, car de grandes parties de la chaîne d’infection s’exécutent en mémoire ou utilisent des fichiers apparemment légitimes.
Pourquoi cette information est-elle importante ?
La campagne révèle que la confiance accordée à un domaine légitime ou à une signature numérique ne suffit pas à elle seule pour juger de la sécurité des instructions ou de l’application. Le risque pratique ne réside pas dans le GPT personnalisé en lui-même, mais dans son utilisation comme interface de confiance pour inciter la victime à exécuter des commandes locales. Le nombre réel de victimes et l’étendue de la diffusion au-delà des cas observés par Huntress restent indéterminés dans les informations disponibles.