Атака через Custom GPT добралась до вполне практичного сценария: злоумышленники использовали пользовательские версии ChatGPT как доверенную витрину, а затем уводили людей на вредоносные сайты с ClickFix-приманкой. По данным The Hacker News, Huntress увидела кампанию в конце сентября 2026 года; заражены не менее 40 пользователей.
Схема неприятна именно своей будничностью. Жертва ищет в Google что-то вроде «chatgpt», видит спонсируемый результат, переходит на страницу Custom GPT внутри настоящего домена chatgpt.com и попадает к боту с названием «Plus 5.6». На вид это не левый архив с форума и не мутный домен из письма, а знакомая платформа, где многие уже привыкли доверять интерфейсу по умолчанию.
Дальше бот показывает «уведомление о доступности сервиса»: якобы основной домен перегружен, поэтому можно повысить тариф или перейти на резервный домен Google Sites. Формулировка подталкивает ко второму варианту: если нужен быстрый доступ, используйте резерв. На Google Sites пользователя встречает поддельная проверка Cloudflare CAPTCHA. Это уже классический ClickFix: человека убеждают скопировать и выполнить команду PowerShell, будто бы для решения технической проблемы.
PowerShell загружает MSI-инсталлятор ISOSimple.msi. Тот запускает цепочку DLL sideloading через легитимный подписанный бинарник Canon COTFileReadApp.exe. В схеме фигурируют измененная DLL ceiinfolog.dll, вторая неподписанная DLL rdCore.dll и зашифрованный загрузчик, спрятанный в WAV-файле Common.Integrator.Preview.wav. Такой трюк с медиафайлом не новый, но он хорошо ложится в нынешнюю моду на многоступенчатые загрузчики: меньше очевидных артефактов, больше шансов пройти мимо поверхностной проверки.
Перед запуском финальной нагрузки загрузчик распаковывает троян и скрипт закрепления из зашифрованного контейнера monitor.raw. По описанию Huntress, он обходит AMSI, «развязывает» ntdll.dll, чтобы мешать пользовательскому мониторингу со стороны защитных продуктов, и проверяет признаки виртуальных машин: VMware, VirtualBox, Hyper-V, QEMU, Xen и Parallels. Иными словами, это не школьный скрипт, который случайно научился PowerShell. Авторы рассчитывали, что образец будут разбирать в песочницах.
Сам RAT умеет собирать профиль системы, список документов, состояние Microsoft Defender и установленного антивируса. Он поддерживает удаленные сеансы рабочего стола и трансляцию экрана, может забирать видео с камеры, звук с микрофона и системный аудиопоток, распознает 17 браузеров, запускает браузер по умолчанию, ищет содержимое файлов через встроенный файловый менеджер и докидывает вторичные полезные нагрузки: EXE, DLL, MSI, PowerShell, batch, VBScript и JavaScript. Для поиска управляющего сервера троян использует DNS-over-HTTPS через Cloudflare, Google и Quad9, поэтому такие запросы выглядят как обычный HTTPS-трафик к известным резолверам и не попадают в локальные DNS-логи.
Отдельная деталь: RAT стабильно сбрасывал легитимно подписанный GOMCam2024.exe, который запускал Google Chrome с одноразовым профилем в каталоге %TEMP%. Это похоже на попытку работать через привычный браузерный контур, не оставляя нормальный пользовательский профиль в центре событий. Где именно спрятаны сведения о C2-сервере, исследователи пока формулируют осторожно: они могут быть глубоко зашифрованы в коде или подтягиваться во время выполнения.
Контекст здесь важнее одного конкретного бота. До этой кампании атакующие уже злоупотребляли расшаренными диалогами с ИИ-чатботами и вредоносными Claude Artifacts для доставки стилеров и RAT. Теперь в ту же корзину попали Custom GPT: функция, созданная для удобной упаковки инструкций, файлов и навыков без кода, стала еще одной оболочкой для социальной инженерии. Доверие переезжает с бренда на интерфейс: если страница выглядит как часть знакомой AI-платформы, пользователь быстрее выполняет странные действия.
ClickFix тоже не стоит на месте. В источнике перечислены параллельные кампании: фишинговые страницы на Google Sites, имитирующие OpenAI Codex и Anthropic Claude; поддельные Cloudflare-экраны; EtherHiding с получением JavaScript через блокчейн-инфраструктуру; доставка Amatera Stealer, ZigCryptoStealer, NetSupport Manager и других нагрузок. Часть атак затрагивала украинские государственные системы и связывается с Russia-aligned кластером UAT-10820. Еще одна кампания, активная как минимум с ноября 2025 года, использовала 31 скомпрометированный бизнес-сайт и Polygon для поиска C2.
Для разработчиков и IT-команд вывод неприятный, но полезный: доверенный домен больше не равен доверенному сценарию. В корпоративных правилах стоит отдельно запретить выполнение команд из «капчи», «проверки браузера» и «инструкции поддержки», даже если пользователь пришел туда через ChatGPT, Google Sites или другой узнаваемый сервис. Для SOC и админов практичнее смотреть не только на домены, а на цепочки поведения: запуск PowerShell из буфера, MSI из временных каталогов, sideloading через подписанные бинарники, странные WAV-файлы рядом с DLL и DoH-активность там, где ее раньше не было.
Атака через Custom GPT показывает, куда смещается фишинг вокруг ИИ: злоумышленникам уже не обязательно подделывать весь бренд с нуля, достаточно встроиться в легитимную платформу и аккуратно подтолкнуть человека к одному неправильному действию. Чем больше компании переносят рабочие привычки в AI-интерфейсы, тем быстрее безопасность этих интерфейсов станет такой же базовой темой, как почтовая защита и контроль макросов в Office.