Вредоносные Custom GPTs стали новой упаковкой для старого трюка ClickFix: пользователя заводят на настоящий домен ChatGPT, а затем уговаривают вручную запустить PowerShell-команду. По данным Huntress, ее SOC уже отработал не менее 40 инцидентов, связанных с доменом Google Sites из этой кампании; два случая исследователи подтвердили как пришедшие через Custom GPT.
О кампании сообщает Dark Reading со ссылкой на исследователей Huntress Марка О’Халлорана и Джонатана Семона. Атакующие создали кастомные версии ChatGPT, которые выглядели как реальные продуктовые предложения, и использовали доверенную инфраструктуру OpenAI как первый слой приманки. Для жертвы это не выглядело как фишинговый сайт на странном домене: она оказывалась на chatgpt.com, видела знакомый интерфейс и могла решить, что перед ней очередная экспериментальная функция или модель.
Сценарий атаки построен аккуратно и неприятно практично. Пользователь вводит любой запрос в поддельный Custom GPT, после чего получает сообщение, что сервис якобы недоступен. Ему предлагают либо обновить подписку, либо перейти на «резервный» домен. Резервом оказывается страница на Google Sites, еще одном легитимном домене, который у многих не вызывает тревоги. Там жертву встречает поддельная страница Cloudflare с фальшивой CAPTCHA, а затем классический ClickFix: инструкция скопировать и вставить команду в PowerShell, чтобы «починить» доступ или пройти проверку.
Дальше социальная инженерия заканчивается и начинается техника. PowerShell-команда скачивает MSI-файл, который использует легитимное приложение с подписью Canon для подгрузки вредоносных DLL. Одна из библиотек извлекает зашифрованный загрузчик из WAV-файла, расшифровывает его и запускает в памяти. Затем загрузчик достает RAT из отдельного зашифрованного хранилища. Huntress также нашла вариант с другим носителем загрузчика и другим подписанным приложением, но логика цепочки остается почти той же: максимум доверенных компонентов снаружи, минимум очевидного вредоносного поведения на первом шаге.
ClickFix за последние годы стал одним из самых удобных приемов для атакующих, потому что он не ломает систему напрямую, а заставляет пользователя самому открыть дверь. Жертве показывают проблему в привычном сервисе: не работает Zoom, не проходит проверка, не грузится страница, недоступен ИИ-инструмент. Потом дают короткую инструкцию, похожую на совет из техподдержки. Для разработчиков, админов и продвинутых пользователей это особенно опасная ловушка: они не боятся терминала и часто готовы быстро выполнить команду, если интерфейс выглядит убедительно.
В этой кампании главная сила не в экзотическом эксплойте, а в цепочке доверия. OpenAI дает знакомый вход, Google Sites — привычный промежуточный домен, Cloudflare-имитация — визуальный шаблон проверки, PowerShell — ощущение технического решения. Название «Plus 5.6», по словам исследователей, могло выглядеть для части пользователей как официальный релиз OpenAI, хотя единственной подсказкой оставалась небольшая метка community builder. Для корпоративной безопасности это плохая новость: правило «проверь домен» уже не закрывает такие сценарии, потому что первый домен действительно легитимный.
Конечная цель атаки — установка RAT, инструмента удаленного доступа. Такой софт дает злоумышленнику устойчивую точку входа в устройство и дальше в сеть компании. По наблюдениям Huntress, после первичного заражения чаще всего следовала установка дополнительного вредоносного ПО: payload’ы пытались красть данные браузера и изучать endpoint. Семон из Huntress описывает риск жестко: если машину не остановить, RAT может следить за пользователем, искать файлы, создавать учетные записи, включать камеру и микрофон, запускать скрытые удаленные сессии и подтягивать новые инструменты атакующих.
Практический вывод для бизнеса простой, но неудобный: обучение сотрудников надо смещать от «смотрите на адрес сайта» к «смотрите, что сайт просит сделать». Нормальный чат-бот, страница поддержки, CAPTCHA или сервис проверки личности не должны просить вставить команду в PowerShell, Terminal или любой другой шелл. Для SOC и IT-команд это еще один аргумент пересмотреть детекты на запуск PowerShell из пользовательских сценариев, MSI-загрузки из браузера, DLL sideloading через подписанные приложения и подозрительные цепочки, где легитимный домен ведет к ручному выполнению команды.
Вредоносные Custom GPTs показывают, что экосистема ИИ-инструментов стала не только рабочей средой, но и поверхностью доверия, которую будут эксплуатировать все чаще. Чем больше компаний разрешают сотрудникам пользоваться кастомными ассистентами, тем важнее отделять полезную автоматизацию от «помощника», который просит открыть терминал и сделать за атакующего самую грязную часть работы.
