ChatGPT, attenzione ai GPT personalizzati: alcuni nascondono malware

I GPT personalizzati di ChatGPT stanno diventando uno strumento nelle mani dei cybercriminali per distribuire malware e compromettere i computer degli utenti. Una nuova campagna, individuata dai ricercatori di sicurezza di Huntress, sfrutta infatti modelli di intelligenza artificiale creati ad hoc e pubblicizzati attraverso gli annunci sponsorizzati di Google per indirizzare le vittime verso pagine web malevole.

L’aspetto più insidioso di questa tecnica è che l’intera operazione sfrutta servizi e domini legittimi, a partire da chatgpt.com, rendendo più difficile distinguere un’interazione autentica da un tentativo di attacco; il problema inoltre, non riguarda soltanto i GPT personalizzati: un’indagine separata di Island ha individuato una campagna simile, basata anche su conversazioni condivise di ChatGPT e su centinaia di destinazioni pubblicitarie.

Segui TuttoTech.net su Google Discover

Come funzionano gli attacchi ClickFix attraverso i GPT personalizzati di ChatGPT

La campagna analizzata da Huntress ruota attorno a un GPT personalizzato chiamato Plus 5.6, promosso attraverso risultati sponsorizzati di Google. Una volta raggiunto il chatbot, gli utenti ricevono risposte che segnalano una presunta disponibilità limitata del servizio, invitandoli a passare a un piano a pagamento oppure a utilizzare un dominio di backup.

Seguendo il collegamento proposto, si arriva a una pagina ospitata su Google Sites, che imita un controllo di sicurezza Cloudflare; il sito chiede di eseguire un comando PowerShell per dimostrare di essere un utente reale, sfruttando una tecnica conosciuta come ClickFix.

Si tratta di un espediente che fa leva sull’interazione diretta con la vittima, invece di sfruttare una vulnerabilità del sistema gli aggressori convincono l’utente a eseguire autonomamente un comando che avvia la catena di infezione.

Nel caso documentato da Huntress, il comando PowerShell scarica e installa un pacchetto MSI dannoso. Il processo utilizza un’applicazione legittima e firmata digitalmente, insieme a una DDL modificata, per caricare il malware e nasconderne l’attività.

Il payload è un trojan di accesso remoto (RAT), in grado di offrire agli aggressori diverse possibilità di controllo del dispositivo. Tra le funzionalità individuate figurano l’accesso remoto al desktop, la registrazione di audio e video, la ricerca di file, la raccolta di informazioni sul computer e l’esecuzione di ulteriori payload.

Il malware cerca inoltre di mantenere la propria presenza nel sistema attraverso una chiave di esecuzione nel Registro di Windows e un’attività pianificata, entrambe associate al nome Canon Configuration Reader.

Huntress ha esaminato almeno 40 incidenti collegati alla pagina malevola su Google Sites, confermando però che soltanto due coinvolgevano direttamente un GPT personalizzato. Il primo modello individuato è stato disattivato da OpenAI entro il 25 settembre, ma il 27 settembre i ricercatori hanno scoperto un secondo GPT collegato alla stessa campagna.

Nel frattempo, gli aggressori hanno modificato alcuni elementi della catena di infezione, passando da un’applicazione firmata da Canon a una di Stardock e cambiando le modalità di distribuzione e occultamento del loader. Il malware finale è rimasto invariato.

Un altro elemento interessante riguarda le tecniche utilizzate per nascondere i componenti dannosi, nella fase più avanzata dell’attacco, i ricercatori hanno individuato un file system crittografato personalizzato, contenente uno script per la persistenza e il RAT. La struttura comprende un indice di 1.128 elementi, ciascuno associato a informazioni specifiche, e ricorda un archivio compresso protetto da crittografia.

Questa complessità, unita al fatto che gran parte dell’infezione avviene direttamente in memoria o attraverso file apparentemente innocui, rende particolarmente importante il monitoraggio delle attività dei processori per individuare comportamenti sospetti.

Non è un caso isolato: anche gli annunci Google e le chat condivise vengono sfruttati

Un’indagine separata condotta da Island, pubblicata il 1° ottobre, porta alla luce una campagna simile, attiva tra la fine di maggio e il 24 agosto. I ricercatori hanno individuato circa 850 landing page pubblicitarie, 26 destinazioni che imitavano o utilizzavano ChatGPT e 71 ID di campagne Google Ads.

Anche in questo caso, gli aggressori utilizzavano GPT personalizzati e conversazioni condivise ospitate su chatgpt.com per indirizzare gli utenti verso presunti domini di backup. Le istruzioni mostrate alle vittime erano sostanzialmente identiche: premere una combinazione di tasti Windows e R, incollare il contenuto degli appunti e premere Invio.

Island ha osservato comportamenti compatibili con la distribuzione di NetSupport RAT, uno strumento legittimo di assistenza remota che viene spesso sfruttato dai criminali informatici per ottenere il controllo dei dispositivi. I ricercatori tuttavia, non hanno stabilito un collegamento tra questa campagna e quella descritta da Huntress.

Il punto in comune è l’utilizzo di servizi autentici per costruire un’apparenza di affidabilità. Il fatto che una pagina si trovi effettivamente su chatgpt.com non significa che il suo contenuto sia sicuro: i GPT personalizzati e le conversazioni condivise possono essere creati e configurati da utenti diversi, con istruzioni che non riflettono necessariamente quelle di OpenAI.

Un meccanismo simile era già stato osservato a luglio con una falsa applicazione di Claude promossa tramite un annuncio su Bing, che conduceva un contenuto ospitato sul dominio autentico claude.ai.

OpenAI ha comunque annunciato la dismissione dei GPT personalizzati, secondo le informazioni riportate nel centro assistenza dell’azienda, la creazione di nuovi GPT dovrebbe terminare il 26 ottobre 2026, mentre quelli esistenti saranno dismessi l’11 dicembre e sostituiti da plugin. Le conversazioni condivise, tuttavia, continueranno a essere disponibili e potrebbero quindi restare un possibile veicolo per campagne di questo tipo.

Come proteggersi

Per proteggersi, la regola fondamentale è semplice: non bisogna mai incollare ed eseguire comandi in PowerShell o in altri terminali su richiesta di un sito web che sostiene di dover verificare la nostra identità. Come sottolineato da Jonathan Semon, analista di Huntress, nessun servizio legittimo ha bisogno di ricorrere a una procedura simile per dimostrare che un visitatore è una persona reale.

È inoltre consigliabile accedere a ChatGPT tramite l’applicazione ufficiale o un segnalibro, evitando di affidarsi agli annunci sponsorizzati nei risultati di ricerca; in caso di sospette interruzioni del servizio, è possibile consultare la pagina ufficiale status.openai.com.

Chi avesse già eseguito un comando sospetto dovrebbe scollegare il computer da Internet, effettuare una scansione antivirus completa e modificare le password più importanti utilizzando un dispositivo diverso e non compromesso.