据 Huntress 公司开展的调查，攻击者利用 ChatGPT 的自定义 GPT 功能，将用户引导至执行 ClickFix 攻击并传播远程控制恶意软件（RAT）的恶意网站。这些恶意模型出现在 Google 付费搜索结果中，使该活动有机会接触到正在寻找专业工具或助手的用户。
自定义 GPT 支持创建整合额外指令、知识和技能的 ChatGPT 版本，也可以发布供他人使用。攻击者利用这一功能创建了一个名为 Plus 5.6 的模型，将用户引导至托管在 Google Sites 上的所谓备用网站。
感染链
虚假页面会显示一个伪造的 Cloudflare 检查，随后要求访客运行 PowerShell 命令。执行该命令会安装恶意 MSI 文件，并调用一个经过数字签名的合法应用程序，同时配合经过修改的 DLL 来加载恶意软件。
将恶意指令托管在 ChatGPT.com 域名上，为该活动增添了额外的可信度，这可能会提高受害者遵循指示的可能性。由此产生的 RAT 具备远程访问桌面、从摄像头采集音频和图像、搜索文件、收集主机信息以及运行其他载荷等能力。
手法发生了哪些变化？
Huntress 此前曾发现与误导性 ChatGPT 对话相关的 ClickFix 攻击，但在此次活动中使用自定义 GPT 是一种新手法。为保持持久性，该恶意软件会在 Windows 注册表中创建一个 Run 值，并创建一个名为 Canon Configuration Reader 的计划任务。
Huntress 表示，其调查了至少 40 起连接到 Google Sites 页面的网站访问事件，但确认只有 2 起与自定义 GPT 版本有关。OpenAI 到 9 月 25 日已删除第一个模型，但研究人员在 9 月 27 日发现了与该活动有关的第二个模型；报告发布时，该模型仍处于活动状态。
较新的版本使用由 Stardock 签名的主机应用程序，取代了由 Canon 签名的应用程序，并改变了加载模块的隐藏和交付方式，但最终载荷保持不变。攻击者还将持久性脚本和 RAT 隐藏在一个定制的加密文件系统中，其中包含目录树和索引，共有 1,128 个文件和文件夹。
防御人员可以监控的指标
- 启动 PowerShell 进程 msiexec.exe，以从临时文件夹静默安装 MSI。
- 从 %LOCALAPPDATA%\Programs\ 下方的异常路径启动经过数字签名的应用程序。
- 删除注册表值和计划任务后，同名的注册表值和计划任务再次出现。
- 监控进程活动，因为感染链的大部分环节在内存中运行，或使用看似正常的文件。
为什么这条新闻很重要？
该活动表明，仅凭合法域名或数字签名的信任，不足以判断指令或应用程序是否安全。实际风险并不在于自定义 GPT 本身，而在于将其用作可信界面，引导受害者执行本地命令。除 Huntress 发现的事件外，实际受害者数量和传播范围的具体情况，在现有材料中仍未确定。