I GPT personalizzati di ChatGPT si stanno trasformando in uno strumento pericoloso nelle mani dei cybercriminali, che li utilizzano per distribuire malware e compromettere i computer degli utenti. Una nuova campagna, individuata dai ricercatori di sicurezza di Huntress, sfrutta modelli di intelligenza artificiale creati ad hoc e pubblicizzati attraverso gli annunci sponsorizzati di Google per indirizzare le vittime verso pagine web malevole. L'aspetto più insidioso di questa tecnica è che l'intera operazione si basa su servizi e domini legittimi, a partire da chatgpt.com, rendendo così più difficile distinguere un'interazione autentica da un tentativo di attacco.
La campagna Plus 5.6 e la tecnica ClickFix
La campagna analizzata da Huntress ruota attorno a un GPT personalizzato chiamato Plus 5.6, promosso attraverso risultati sponsorizzati di Google. Una volta raggiunto il chatbot, gli utenti ricevono risposte che segnalano una presunta disponibilità limitata del servizio, invitandoli a passare a un piano a pagamento oppure a utilizzare un dominio di backup. Seguendo il collegamento proposto, si arriva a una pagina ospitata su Google Sites che imita un controllo di sicurezza Cloudflare; il sito chiede di eseguire un comando PowerShell per dimostrare di essere un utente reale, sfruttando una tecnica nota come ClickFix. Si tratta di un espediente che fa leva sull'interazione diretta con la vittima: invece di sfruttare una vulnerabilità del sistema, gli aggressori convincono l'utente a eseguire autonomamente un comando che avvia la catena di infezione.
Nel caso documentato da Huntress, il comando PowerShell scarica e installa un pacchetto MSI dannoso. Il processo utilizza un'applicazione legittima e firmata digitalmente, insieme a una DLL modificata, per caricare il malware e nasconderne l'attività. Il payload è un trojan di accesso remoto (RAT), in grado di offrire agli aggressori diverse possibilità di controllo del dispositivo. Tra le funzionalità individuate figurano l'accesso remoto al desktop, la registrazione di audio e video, la ricerca di file, la raccolta di informazioni sul computer e l'esecuzione di ulteriori payload. Il malware cerca inoltre di mantenere la propria presenza nel sistema attraverso una chiave di esecuzione nel Registro di Windows e un'attività pianificata, entrambe associate al nome Canon Configuration Reader.
Evoluzione dell'attacco e indagine di Island
Huntress ha esaminato almeno 40 incidenti collegati alla pagina malevola su Google Sites, confermando però che soltanto due coinvolgevano direttamente un GPT personalizzato. Il primo modello individuato è stato disattivato da OpenAI entro il 25 settembre, ma il 27 settembre i ricercatori hanno scoperto un secondo GPT collegato alla stessa campagna. Nel frattempo, gli aggressori hanno modificato alcuni elementi della catena di infezione, passando da un'applicazione firmata da Canon a una di Stardock e cambiando le modalità di distribuzione e occultamento del loader. Il malware finale è rimasto invariato. Un altro elemento interessante riguarda le tecniche utilizzate per nascondere i componenti dannosi: nella fase più avanzata dell'attacco, i ricercatori hanno individuato un file system crittografato personalizzato, contenente uno script per la persistenza e il RAT. La struttura comprende un indice di 1.128 elementi, ciascuno associato a informazioni specifiche, e ricorda un archivio compresso protetto da crittografia. Questa complessità, unita al fatto che gran parte dell'infezione avviene direttamente in memoria o attraverso file apparentemente innocui, rende particolarmente importante il monitoraggio delle attività dei processori per individuare comportamenti sospetti.
Un'indagine separata condotta da Island, pubblicata il 1° ottobre, porta alla luce una campagna simile, attiva tra la fine di maggio e il 24 agosto. I ricercatori hanno individuato circa 850 landing page pubblicitarie, 26 destinazioni che imitavano o utilizzavano ChatGPT e 71 ID di campagne Google Ads. Anche in questo caso, gli aggressori utilizzavano GPT personalizzati e conversazioni condivise ospitate su chatgpt.com per indirizzare gli utenti verso presunti domini di backup. Le istruzioni mostrate alle vittime erano sostanzialmente identiche: premere una combinazione di tasti Windows e R, incollare il contenuto degli appunti e premere Invio. Island ha osservato comportamenti compatibili con la distribuzione di NetSupport RAT, uno strumento legittimo di assistenza remota che viene spesso sfruttato dai criminali informatici per ottenere il controllo dei dispositivi. I ricercatori, tuttavia, non hanno stabilito un collegamento tra questa campagna e quella descritta da Huntress.
Il punto in comune è l'utilizzo di servizi autentici per costruire un'apparenza di affidabilità. Il fatto che una pagina si trovi effettivamente su chatgpt.com non significa che il suo contenuto sia sicuro: i GPT personalizzati e le conversazioni condivise possono essere creati e configurati da utenti diversi, con istruzioni che non riflettono necessariamente quelle di OpenAI. Un meccanismo simile era già stato osservato a luglio con una falsa applicazione di Claude promossa tramite un annuncio su Bing, che conduceva a un contenuto ospitato sul dominio autentico claude.ai. OpenAI ha comunque annunciato la dismissione dei GPT personalizzati: secondo le informazioni riportate nel centro assistenza dell'azienda, la creazione di nuovi GPT dovrebbe terminare il 26 ottobre 2026, mentre quelli esistenti saranno dismessi l'11 dicembre e sostituiti da plugin. Le conversazioni condivise, tuttavia, continueranno a essere disponibili e potrebbero quindi restare un possibile veicolo per campagne di questo tipo.
Per proteggersi, la regola fondamentale è semplice: non bisogna mai incollare ed eseguire comandi in PowerShell o in altri terminali su richiesta di un sito web che sostiene di dover verificare la nostra identità. Come sottolineato da Jonathan Semon, analista di Huntress, nessun servizio legittimo ha bisogno di ricorrere a una procedura simile per dimostrare che un visitatore è una persona reale. È inoltre consigliabile accedere a ChatGPT tramite l'applicazione ufficiale o un segnalibro, evitando di affidarsi agli annunci sponsorizzati nei risultati di ricerca; in caso di sospette interruzioni del servizio, è possibile consultare la pagina ufficiale status.openai.com. Chi avesse già eseguito un comando sospetto dovrebbe scollegare il computer da Internet, effettuare una scansione antivirus completa e modificare le password più importanti utilizzando un dispositivo diverso e non compromesso.
