Атака через Custom GPT в ChatGPT привела к заражению десятков пользователей программой удалённого доступа

Попадали на неё через рекламу. Поисковый запрос с названием чат-бота выдавал платное объявление, и оно шло выше естественных результатов. Переход вёл на законный домен ChatGPT, поэтому адресная строка не смущала. Затем начиналась социальная инженерия: на любое сообщение сборка отвечала одним и тем же текстом. Посетителю сообщали о перегрузке основного домена и ограничениях в работе. Продолжить предлагалось через резервную ссылку.

Ссылка открывала страницу в Google Sites (простом конструкторе сайтов от Google) с поддельной проверкой от Cloudflare, сервиса защиты сайтов от автоматических запросов. Вместо привычной галочки "я не робот" посетитель получал инструкцию скопировать команду и вставить её в системный терминал. Так работает схема ClickFix - приём, при котором жертва сама запускает вредоносный код под видом устранения неполадки. По данным Huntress, речь идёт о сорока с лишним обращениях в команду реагирования. Все они связаны с одним доменом. В двух случаях подтвердилось, что путь жертвы начался именно с Custom GPT.

Вставленная команда обращается к PowerShell - встроенной среде автоматизации Windows. Она загружает запутанный сценарий и выполняет его, не сохраняя на диск. Дальше скачивается установочный пакет формата MSI (стандартный формат установщиков для Windows) и ставится в тихом режиме, без окон и перезагрузки. При этом пакет представляется утилитой для настройки принтеров от малоизвестного издателя и прячется от списка установленных программ.

После установки в дело вступает подмена библиотеки. Установщик запускает подписанное приложение Canon - настоящее, без единой правки в коде. Windows при поиске библиотек сначала заглядывает в папку самой программы. Этим и воспользовались: рядом положили изменённую копию библиотеки вендора, а внутрь добавили ссылку на посторонний модуль. В результате приложение загружает свой журнал работы, а вместе с ним в память попадает чужой код.

Цепочка вышла длинной: восемь этапов вместо обычных двух или трёх. Каждый закрывает следующий. Сначала полезная нагрузка лежала в аудиофайле. Первые килобайты - настоящая запись, дальше вместо звука шёл шифр. Потом её сменил зашифрованный архив с собственной структурой папок, устроенный как самодельный ZIP-контейнер. Из-за этого разобрать его без ключа нельзя: каждое поле в указателе файлов перемешано арифметикой с общим ключом и индивидуальной добавкой для каждой записи.

Финал цепочки - программа удалённого доступа (RAT) с широкими возможностями. Она даёт оператору контроль над экраном, доступ к камере, микрофону и системному звуку. Отдельный модуль работает с семнадцатью браузерами, определяет браузер по умолчанию и запускает его. Помимо этого, встроенный файловый менеджер ищет текст по содержимому файлов на всём компьютере. Программа умеет доставлять и запускать следующие нагрузки: исполняемые файлы, библиотеки, установщики, сценарии и архивы.

Закрепление в системе сделано с запасом. Сценарий прописывает запуск в пользовательской ветви реестра и создаёт задачу планировщика. Обе записи носят одно имя, связанное с продуктом Canon. Каждые 150 секунд проверяется первая запись, раз в 875 секунд - вторая. Удалённые значения возвращаются за считанные минуты. Поэтому сначала останавливают процесс, и только потом чистят записи.

Часть защиты сработала лишь отчасти. В одном из инцидентов Microsoft Defender поместил установщик в карантин. Однако запуск уже состоялся, и механизмы закрепления продолжили работу. Связь с командным сервером программа держит через DNS-over-HTTPS - передачу запросов к доменным именам внутри обычного шифрованного веб-трафика. В локальных журналах такие обращения не видны. Адрес управляющего сервера в найденных файлах отсутствовал. После закрепления вредоносная программа установила подписанное приложение для записи экрана и открыла браузер с временным профилем.

Первую сборку OpenAI сняла 25 сентября, а 27 сентября обнаружилась новая, привязанная к той же кампании. Новая страница вела к прежнему набору инструментов: финальная программа удалённого доступа совпала с ранней версией до последнего байта. Сменилось подписанное приложение-носитель - теперь это продукт Stardock. Изменилось и место хранения нагрузки: вместо аудио её вшили в настоящий пакет Microsoft для разработчиков. Доставка окрепла: один сценарий подтягивает второй, причём тот заново запутывают при каждом запросе, поэтому сверка по контрольной сумме бесполезна. Скачивание повторяется до трёх раз. У установщика снимают метку о загрузке из интернета - скрытый признак, из-за которого Windows предупреждает о скачанных файлах.

Так, на том же сервере в день начала волны лежал третий установочный пакет, связанный с утилитами для работы с образами дисков. Значит, подмена подписанных приложений продолжится, и поиск по знакомым именам Canon или Stardock следующую версию пропустит. Надёжнее опираться на поведение: PowerShell запускает установщик из временной папки, подписанное приложение стартует из поддельной папки в профиле пользователя, запись автозапуска и задача планировщика носят одно имя и возвращаются после удаления.

Похожие приёмы применяли и раньше. Поддельные диалоги ChatGPT и Grok с советами для macOS вели к краже данных. Реклама в поиске приводила к чужому диалогу Claude с командой для терминала. Артефакт Claude выдавал себя за страницу загрузки. Такие страницы живут обычно часы или дни, но и этого хватает. Пользователю достаточно не вставлять команды со сторонних страниц в терминал и проверять адрес сайта. Компаниям разумно следить за запуском установщиков и учитывать, что доверенный домен больше не гарантирует безопасность содержимого.