نسخه‌های سفارشی شده (Custom GPTs) از مدل ChatGPT شرکت OpenAI که از طریق نتایج اسپانسر شده گوگل تبلیغ می‌شوند، کاربران unsuspecting را به سایت‌های مخربی هدایت می‌کنند که با استفاده از حملات ClickFix، بدافزارها را روی سیستم قربانی نصب می‌کنند.
عامل تهدید (Threat Actor) در این عملیات از قابلیت قانونی پلتفرم AI برای ایجاد نسخه‌های تخصصی ChatGPT استفاده کرده است؛ قابلیتی که به کاربران اجازه می‌دهد دستورالعمل‌ها، دانش اضافی و مهارت‌های خاصی را با مدل ترکیب کنند. این مدل‌های سفارشی توسط OpenAI میزبانی شده و برای نصب و استفاده دیگران منتشر می‌شوند.
زنجیره حمله و مکانیسم ClickFix
تحقیقات شرکت Huntress نشان می‌دهد که مهاجمان مدلی با نام ‘Plus 5.6’ ایجاد کرده‌اند که کاربران را به یک سایت پشتیبان جعلی در Google Sites هدایت می‌کند. در این صفحه، یک بررسی جعلی Cloudflare نمایش داده می‌شود و از بازدیدکننده خواسته می‌شود تا یک دستور PowerShell را اجرا کند. این اقدام، آغاز زنجیره سرایت (Infection) است.
استفاده از دامنه معتبر ChatGPT.com برای ارائه دستورالعمل‌های مخرب، باعث افزایش اعتماد قربانی شده و احتمال اجرای دستورات را بالا می‌برد. در صورت اجرای دستور PowerShell، یک فایل MSI مخرب نصب می‌شود که یک اپلیکیشن امضا شده (Signed Application) و یک DLL تغییر یافته را برای بارگذاری بدافزار اجرا می‌کند.
ویژگی‌های بدافزار و پایداری در سیستم
پیلود (Payload) مورد استفاده در این کمپین، یک تروجان دسترسی از راه دور (RAT) است که قابلیت‌های زیر را دارد:
- دسترسی به دسکتاپ از راه دور (Remote Desktop Access)
- ضبط صدا و تصویر دوربین
- جستجوی فایل‌ها و شناسایی میزبان (Host Reconnaissance)
- اجرای پیلودهای اضافی
برای ایجاد پایداری (Persistence)، این بدافزار یک کلید Run جدید در رجیستری ویندوز و یک Scheduled Task ایجاد می‌کند که هر دو با نام ‘Canon Configuration Reader’ نام‌گذاری شده‌اند.
نوآوری در مخفی‌سازی
یکی از نکات فنی قابل توجه در این حمله، ایجاد یک سیستم فایل رمزگذاری شده سفارشی توسط مهاجمان است تا اسکریپت‌های پایداری و RAT را پنهان کنند. این سیستم در واقع یک آرشیو رمزگذاری شده دست‌ساز (شبیه به فایل Zip) است که دارای ساختار پوشه‌بندی، ایندکس برای هر فایل و کلیدهای رمزگذاری مجزا برای هر ورودی است.
راهکارهای شناسایی برای تیم‌های SOC
بسیاری از مراحل این زنجیره حمله در حافظه (In-Memory) اجرا می‌شوند یا از فایل‌هایی استفاده می‌کنند که در ظاهر benign به نظر می‌رسند. با این حال، فرصت‌های شناسایی (Detection Opportunities) زیر پیشنهاد می‌شود:
- مانیتورینگ اجرای
msiexec.exeتوسط PowerShell برای نصب بی‌صدای MSI از پوشه Temporary. - شناسایی اجرای اپلیکیشن‌های امضا شده از مسیرهای غیرمعمول در
%LOCALAPPDATA%Programs. - رصد مقادیر Run در رجیستری و Scheduled Taskهایی که پس از حذف، مجدداً ظاهر می‌شوند.
