Nep-ChatGPT-model "Plus 5.6" op chatgpt.com verspreidt een trojan

Zoeken op Google naar "chatgpt" en op de bovenste advertentie klikken kan je naar het echte domein chatgpt.com brengen. Toch kan dat eindigen met een trojan voor externe toegang op je pc. Beveiligingsbedrijf Huntress beschreef op 28 september een campagne waarbij aanvallers een Custom GPT met de naam "Plus 5.6" maakten en daarvoor betaalde Google-advertenties plaatsten. Custom GPTs zijn op maat gemaakte chatbots die elke ChatGPT-gebruiker kan bouwen en openbaar kan delen, en OpenAI host ze op chatgpt.com. De aanval maakt geen misbruik van een kwetsbaarheid in ChatGPT.

Het nepback-updomein

Het nepmodel beantwoordt elke prompt met een servicemelding. ChatGPT zou met beperkte beschikbaarheid werken, dus moeten gebruikers upgraden naar Plus of doorgaan op een back-updomein. De link leidt naar een Google Sites-pagina die is vermomd als een Cloudflare-controle. Bezoekers krijgen daar de opdracht een commando te kopiëren en in Terminal te plakken om te bewijzen dat ze mens zijn. Deze techniek staat bekend als ClickFix. Het commando start PowerShell, dat in acht fasen een trojan voor externe toegang op de Windows-pc installeert. De malware verschuilt zich achter een ondertekende Canon-applicatie en een audiobestand. De aanvaller kan vervolgens het scherm bekijken, de camera en microfoon opnemen, bestanden doorzoeken en meer malware laden.

Huntress telde minstens 40 incidenten die verband hielden met de Google Sites-pagina. In twee daarvan kwam het slachtoffer aantoonbaar via de Custom GPT terecht. OpenAI verwijderde de eerste GPT op 25 september, nadat Huntress dit had gemeld, en twee dagen later ontdekte Huntress een nieuwe met dezelfde naam.

Island telde ongeveer 850 bezoeken via advertenties

Een tweede rapport is afkomstig van Island en werd op 1 oktober gepubliceerd. De onderzoekers volgden een vergelijkbare campagne van eind mei tot 24 augustus, met ongeveer 850 bezoeken via betaalde advertenties, 26 op ChatGPT lijkende bestemmingen en 71 Google Ads-campagne-ID's. Ook hier waren de lokmiddelen Custom GPTs of gedeelde chats op chatgpt.com, en ze gaven allemaal hetzelfde antwoord: "We are experiencing high traffic now. Continue on our backup domain." Op dat domein kregen slachtoffers de opdracht op de Windows-toets en R te drukken, de inhoud van het klembord te plakken en op Enter te drukken. Island zag gedrag dat overeenkwam met NetSupport RAT, een legitieme tool voor externe ondersteuning waar criminelen vaak misbruik van maken. Geen van beide bedrijven legt een verband tussen de twee campagnes.

Een echt domein is geen bewijs meer

Hetzelfde idee zat achter de nep-Claude-app in juli, toen een Bing-advertentie leidde naar een Artifact op claude.ai. Aanvallers geven de voorkeur aan een echt domein omdat beveiligingsfilters het doorlaten en gebruikers het vertrouwen. OpenAI neemt toch al afscheid van Custom GPTs. Volgens het helpcentrum is het de bedoeling dat het maken van nieuwe GPTs op 26 oktober stopt. Bestaande GPTs worden op 11 december uitgefaseerd en vervangen door plug-ins. Gedeelde chats, die Island ook als lokmiddel aantrof, blijven beschikbaar.

Zo bescherm je jezelf

Huntress-analist Jonathan Semon vertelde aan Dark Reading: "geen enkele website, chatbot, supportpagina of 'verificatietool' heeft een legitieme reden om je te vragen een commando in PowerShell of een Terminal te plakken om te controleren wie je bent, hoe professioneel de pagina er ook uitziet." Als een pagina je dat vraagt, sluit dan het tabblad. ChatGPT stuurt je nooit naar een back-updomein, en OpenAI meldt storingen op status.openai.com. Open chatgpt.com via een bladwijzer of de app in plaats van ernaar te zoeken, zodat je de advertenties niet te zien krijgt. Als je zo'n commando al hebt uitgevoerd, verbreek dan de internetverbinding van de pc, voer een volledige antivirusscan uit en wijzig je belangrijkste wachtwoorden vanaf een ander apparaat.