Investigadores de Huntress han descubierto que unos hackers están abusando de la función de GPTs personalizados de ChatGPT para suplantar productos de IA. El objetivo es engañar a los usuarios para que instalen un troyano de acceso remoto (RAT) sofisticado. La campaña utiliza páginas alojadas en ChatGPT como punto de partida para ataques de tipo ClickFix, combinando publicidad maliciosa, avisos de verificación falsos y paquetes MSI maliciosos.

Están abusando de la función de GPT personalizados de ChatGPT para suplantar productos de IA y engañar a los usuarios para que instalen un sofisticado troyano de acceso remoto (RAT), según investigadores de Huntress.

La campaña convierte una página alojada en ChatGPT, en la que confías, en la etapa inicial de un ataque ClickFix, combinando malvertising, solicitudes de verificación falsas, PowerShell ofuscado, paquetes MSI maliciosos y DLL sideloading.

Huntress investigó al menos 40 incidentes que utilizaban la infraestructura de Google Sites de la campaña, incluidas dos infecciones rastreadas hasta GPTs personalizados maliciosos.

El ataque comienza a veces cuando buscas "chatgpt" en Google y haces clic en un resultado patrocinado que te lleva a una dirección de chatgpt.com. Los atacantes llamaron a su GPT personalizado "Plus 5.6" para que pareciera un modelo oficial, aunque la página identificaba a su creador como un "constructor de la comunidad".

La interacción generaba un "Aviso de Disponibilidad del Servicio" alegando que el dominio principal tenía disponibilidad limitada y dirigiendo al visitante a un supuesto sitio de respaldo.

Ese enlace abría una página de Google Sites disfrazada de una pantalla de verificación de CAPTCHA de ChatGPT y Cloudflare. En lugar de realizar una verificación legítima, el señuelo ClickFix instruía a las víctimas a pegar y ejecutar un comando de PowerShell.

Microsoft describe el ClickFix como una técnica de ingeniería social que explota la disposición de los usuarios a resolver errores menores o completar verificaciones de CAPTCHA haciendo que ellos mismos ejecuten comandos maliciosos.

Según la investigación publicada por Huntress, el comando descargaba un script de PowerShell fuertemente ofuscado en el directorio temporal de Windows.

Huntress descubrió que la dirección del servidor estaba representada como el valor decimal 1614733393, que Windows resuelve como 96.62.224[.]81, evadiendo potencialmente los filtros que buscan solo direcciones IP con puntos.

Después de decodificar dos capas de ofuscación basada en enteros, el script obtenía ISOSimple.msi, lo instalaba silenciosamente con msiexec y se eliminaba a sí mismo.

El MSI se hacía pasar por "Advanced Printer Configuration Reader", se ocultaba de Programas y Características, y se instalaba en %LOCALAPPDATA%\Programs. Lanzaba el archivo COTFileReadApp.exe de Canon, firmado legítimamente, que cargaba una dll modificada, ceiinfolog.dll, desde el mismo directorio.

Esta cadena de DLL sideloading importaba rdCore.dll, extraía el código del cargador cifrado oculto dentro de Common.Integrator.Preview.wav y lo ejecutaba en memoria.

El cargador implementó una omisión de AMSI, desenganche de ntdll, comprobaciones anti-máquina virtual y ejecución de .NET en memoria antes de abrir monitor.raw, un archivo cifrado personalizado que contenía la lógica de persistencia y el RAT final.

El malware creó un valor HKCU Run y una tarea programada llamada "Canon Configuration Reader", reconstruyéndolos repetidamente si eran eliminados.

Su RAT admite acceso remoto al escritorio, captura de cámara y micrófono, búsqueda de archivos, lanzamiento de navegador, reconocimiento del sistema y ejecución de cargas adicionales de EXE, DLL, MSI, PowerShell o scripts. Resuelve la infraestructura de comando y control utilizando DNS-over-HTTPS a través de Cloudflare, Google y Quad9.

Después de que OpenAI eliminara el primer GPT reportado el 25 de septiembre, Huntress encontró un reemplazo el 27 de septiembre. La nueva ola conservaba el mismo RAT pero sustituyó el ejecutable de Canon por DeElevate64.exe firmado por Stardock, movió el cargador a un paquete Microsoft NuGet llamado Build.dat y eliminó la marca de la web (Mark-of-the-Web) antes de la instalación.

Quienes defienden los sistemas deben priorizar la detección conductual sobre los nombres de los productos, ya que los atacantes pueden rotar las aplicaciones anfitrionas firmadas.

Las señales de alto valor incluyen que PowerShell ejecute msiexec para archivos MSI con nombres GUID en %TEMP%, binarios firmados de Canon o Stardock lanzados desde rutas inesperadas de %LOCALAPPDATA%\Programs, nombres coincidentes de claves Run y tareas programadas, y DLLs no firmadas o con checksum modificado junto a ejecutables legítimos.

Tú deberías cerrar inmediatamente cualquier página de CAPTCHA o servicio de IA que te pida abrir PowerShell, la Terminal o el cuadro de diálogo Ejecutar y pegar un comando; las verificaciones legítimas no requieren la ejecución de una shell.

La investigación acredita a Tanner Filip, Camilo Lima, Ethan Williams, Ryan Eisenhower, Jose Oregon, Jai Minton, Susannah Matt y Lindsey Welch por contribuir a la investigación y la redacción técnica.

Fuentes:
https://cybersecuritynews.com/chatgpt-custom-gpt-malware/