Атаки ClickFix добрались до кастомных GPT: злоумышленники продвигали в рекламной выдаче Google поддельные варианты ChatGPT и отправляли пользователей на страницу с вредоносной инструкцией. По данным BleepingComputer, кампания затронула десятки пользователей, а исследователи Huntress связали с ней как минимум 40 инцидентов. Для команд, которые уже привыкли искать AI-инструменты через поисковик и быстро пробовать «улучшенные» версии ChatGPT, это неприятное напоминание: доверенный домен в цепочке атаки больше не выглядит как красный флаг.
Схема строилась вокруг легитимной функции OpenAI: пользователь может создать собственную версию ChatGPT под конкретную задачу, добавить инструкции, знания и навыки, а затем опубликовать ее для других. Этим и воспользовался оператор кампании. Вредоносный кастомный GPT получил название Plus 5.6 и направлял посетителей на якобы резервный сайт, размещенный на Google Sites. Там жертву встречала фальшивая проверка Cloudflare и просьба выполнить команду PowerShell.
ClickFix работает именно на такой социальной инженерии: пользователю показывают псевдотехническую проблему и предлагают «быстрое исправление», которое на деле запускает заражение. В этой кампании команда PowerShell устанавливала вредоносный MSI-пакет. Дальше цепочка использовала легитимное подписанное приложение и модифицированную DLL, через которую загружалась основная полезная нагрузка.
Huntress описывает payload как RAT — троян удаленного доступа. Его возможности выглядят вполне практично для оператора, которому нужен контроль над рабочей машиной: удаленный доступ к рабочему столу, захват аудио и камеры, поиск файлов, разведка по хосту и запуск дополнительных нагрузок. Для закрепления в системе malware создавал ключ автозапуска в реестре Windows и планировщик задач. Оба элемента назывались Canon Configuration Reader, что должно было выглядеть достаточно скучно, чтобы администратор проскроллил мимо.
Исследователи подчеркивают важную деталь: вредоносные инструкции появлялись внутри легитимного домена ChatGPT.com. Это повышает доверие к сценарию, особенно если пользователь попал туда из рекламного блока Google и уже ожидает увидеть AI-инструмент. В прошлых похожих атаках злоумышленники тоже использовали диалоги, похожие на ChatGPT, чтобы подвести человека к запуску ClickFix-команды. Новизна здесь в том, что воронка начинается с настоящего механизма кастомных GPT, а не только с фишинговой имитации.
OpenAI удалила первый обнаруженный GPT к 25 сентября. Но 27 сентября Huntress нашла второй кастомный GPT, связанный с той же кампанией; на момент публикации отчета он еще был активен. Это хороший пример проблемы модерации в AI-маркетплейсах: даже если вредоносный объект снимают, злоумышленник может быстро пересобрать упаковку, особенно когда сама функция публикации рассчитана на низкий порог входа.
Техническая часть тоже не выглядит одноразовой поделкой. В более свежих вариантах атаки злоумышленники перешли от подписанного приложения Canon к подписанному приложению Stardock и изменили способ маскировки загрузчика, хотя финальная нагрузка осталась прежней. В одной из стадий Huntress нашла самодельную зашифрованную файловую систему: не один зашифрованный blob, а архив с деревом папок, индексом из 1128 записей и отдельными ключами для файлов. Это уже не «скрипт из чата», а нормальная инженерная работа по усложнению анализа.
Для защитников главный вывод не в том, что «AI снова опасен», а в том, что привычные признаки доверия размываются. Домен ChatGPT.com, Google Sites, подписанное приложение и рекламная выдача по отдельности выглядят легитимно. В цепочке вместе они дают пользователю ощущение нормального процесса установки или проверки. Поэтому детектировать стоит не бренд на странице, а поведение: PowerShell, который дергает msiexec.exe для тихой установки MSI из временной папки; подписанное приложение, запущенное из необычного каталога внутри %LOCALAPPDATA%Programs; ключ Run и задача планировщика с одинаковым именем, которые появляются снова после удаления.
Для компаний это еще один аргумент пересмотреть правила использования кастомных GPT и похожих AI-ассистентов. Запретить сотрудникам открывать все подряд из поиска сложно и, честно говоря, мало реалистично. Но можно убрать самые опасные звенья: ограничить запуск PowerShell для обычных пользователей, контролировать установку MSI из временных директорий, обучать сотрудников не вставлять команды из браузера в терминал и проверять рекламные ссылки на AI-инструменты так же придирчиво, как ссылки на банковские кабинеты.
Атаки ClickFix хорошо ложатся на эпоху AI-инструментов: пользователь уже привык выполнять подсказки ассистента, а злоумышленнику остается подменить контекст. Чем больше рабочих процессов переезжает в кастомных ботов, тем чаще безопасность будет упираться не в качество модели, а в происхождение инструкции. Следующий рубеж для платформ — не только удалять вредоносные GPT после жалобы, но и раньше замечать сценарии, где «помощник» внезапно просит человека запустить PowerShell от своего имени.
