Lợi dụng ChatGPT Custom GPT để phát tán RAT qua ClickFix
"Threat actors abused ChatGPT Custom GPTs and sponsored Google search results to lure users into a ClickFix-style infection chain that delivered a malicious MSI installer, DLL sideloading, and a RAT payload. The campaign used fake service notices and CAPTCHA prompts to trick victims into executing PowerShell, and Huntress reported at least 40 infections; no CVE was disclosed, and mitigation centers on blocking the lure chain and detecting the malicious installer, sideloading, and persistence activity."
Rủi ro cao do lạm dụng nền tảng AI đáng tin cậy, thực thi lệnh từ người dùng và triển khai RAT có khả năng kiểm soát từ xa, đánh cắp dữ liệu.
Có thể gây gián đoạn vận hành, tăng tải cho SOC/IT và phát sinh chi phí ứng phó sự cố khi người dùng bị dẫn dụ qua quảng cáo và trang giả mạo.
Các tác nhân đe dọa đã lợi dụng ChatGPT Custom GPTs và kết quả quảng cáo Google để dẫn người dùng tới chuỗi lây nhiễm kiểu ClickFix. Theo Huntress, chiến dịch này dùng thông báo dịch vụ giả và kiểm tra CAPTCHA để dụ nạn nhân sao chép, chạy lệnh PowerShell, từ đó tải về MSI installer độc hại, thực hiện DLL sideloading và triển khai RAT payload.
Điểm khởi đầu là một Custom GPT giả mạo, trả về liên kết tới Google Sites với nội dung như “Service Availability Notice” và gợi ý dùng miền dự phòng. Khi người dùng làm theo, trang sẽ hiển thị CAPTCHA giả của Cloudflare và kích hoạt bước ClickFix. Tệp cài đặt ISOSimple.msi sau đó lợi dụng một binary ký hợp lệ của Canon để nạp DLL độc hại, rồi tiếp tục giải mã và chạy tải trọng cuối cùng.
Huntress cho biết đã ghi nhận ít nhất 40 ca nhiễm. Mã độc có khả năng thu thập thông tin hệ thống, chạy phiên điều khiển từ xa, truy cập camera/micro, và tải thêm payload. Khuyến nghị kỹ thuật gồm chặn chuỗi lừa đảo, giám sát thực thi PowerShell, phát hiện DLL sideloading, theo dõi hành vi persistence, và lọc các miền quảng cáo hoặc trang trung gian đáng ngờ.