Huntress의 조사에 따르면 공격자들은 ChatGPT의 맞춤형 GPT 기능을 악용해 사용자를 ClickFix 공격을 수행하고 원격 제어 악성코드(RAT)를 유포하는 악성 사이트로 유도했다. 악성 모델은 Google 유료 검색 결과에 노출됐으며, 이를 통해 특정 도구나 전문 어시스턴트를 찾는 사용자에게 캠페인이 접근할 기회를 얻었다.
맞춤형 GPT를 사용하면 추가 지침, 지식, 기술을 결합한 ChatGPT 버전을 만들 수 있으며, 다른 사람들이 사용하도록 배포할 수도 있다. 공격자들은 이 기능을 악용해 Plus 5.6이라는 이름의 모델을 만들었고, 이 모델은 사용자를 Google Sites에 호스팅된 것으로 보이는 백업 사이트로 유도했다.
감염 과정
가짜 페이지는 Cloudflare의 가짜 검사를 표시한 뒤 방문자에게 PowerShell 명령을 실행하도록 요구한다. 명령을 실행하면 악성 MSI 파일이 설치되고, 이 파일은 디지털 서명된 정상 애플리케이션과 변조된 DLL을 함께 호출해 악성코드를 로드한다.
악성 지침을 ChatGPT.com 도메인에 호스팅하면 캠페인에 추가적인 신뢰성이 부여될 수 있으며, 이는 피해자가 지침을 따를 가능성을 높일 수 있다. 결과적으로 설치되는 RAT는 원격 데스크톱 접근, 오디오 녹음 및 카메라 이미지 캡처, 파일 검색, 호스트 정보 수집, 추가 페이로드 실행 기능을 제공한다.
방식이 어떻게 달라졌나?
Huntress는 이전에도 기만적인 ChatGPT 대화와 관련된 ClickFix 공격을 발견했지만, 이번 캠페인에서 맞춤형 GPT를 사용한 것은 새로운 방식이다. 지속성을 유지하기 위해 악성코드는 Windows 레지스트리에 Canon Configuration Reader라는 이름의 Run 값을 만들고 동일한 이름의 예약 작업을 생성한다.
Huntress는 Google Sites 페이지에 연결된 최소 40건의 사건을 조사했지만, 맞춤형 GPT 버전과 관련된 사례는 2건뿐이라고 확인했다. OpenAI는 9월 25일까지 첫 번째 모델을 삭제했지만, 연구진은 9월 27일 캠페인과 관련된 두 번째 모델을 발견했으며, 보고서가 발표될 당시에도 여전히 활성 상태였다.
최신 버전은 Canon에서 서명한 애플리케이션 대신 Stardock에서 서명한 호스트 애플리케이션을 사용했으며, 로더 모듈을 숨기고 전달하는 방식도 변경됐다. 그러나 최종 페이로드는 동일하게 유지됐다. 또한 공격자들은 전용 암호화 파일 시스템 안에 지속성 스크립트와 RAT를 숨겼으며, 이 시스템에는 1,128개의 파일과 폴더가 포함된 디렉터리 트리와 인덱스가 들어 있었다.
방어자가 모니터링할 수 있는 지표
- 임시 폴더에서 MSI를 자동으로 설치하기 위해 msiexec.exe 프로세스에 PowerShell을 실행하는 행위.
- %LOCALAPPDATA%\Programs\ 하위의 비정상적인 경로에서 디지털 서명된 애플리케이션을 시작하는 행위.
- Registry 값과 예약 작업을 삭제한 뒤 동일한 이름으로 다시 생성되는 현상.
- 감염 과정의 상당 부분이 메모리에서 실행되거나 정상적으로 보이는 파일을 사용하므로 프로세스 활동을 모니터링하는 것.
이 소식이 중요한 이유
이번 캠페인은 합법적인 도메인이나 디지털 서명에 대한 신뢰만으로는 지침이나 애플리케이션의 안전성을 판단하기에 충분하지 않다는 점을 보여준다. 실제 위험은 맞춤형 GPT 자체에 있는 것이 아니라, 이를 신뢰할 수 있는 인터페이스로 사용해 피해자가 로컬 명령을 실행하도록 유도하는 데 있다. Huntress가 발견한 사례를 제외한 실제 피해자 수와 확산 범위의 세부 사항은 이용 가능한 자료만으로는 확정되지 않았다.