Egy ChatGPT-re mutató Google-hirdetés akár a valódi chatgpt.com oldalra is vezethet, mégis csalás kezdete lehet. A Huntress egy „ Plus 5.6” nevű egyedi GPT-t azonosított, amelyet támadók készítettek, hogy a szolgáltatás hivatalos változatának tűnjön. A chatbot korlátozott elérhetőségről szóló üzenettel válaszolt, majd egy állítólagos tartalékdomainen javasolta a beszélgetés folytatását. A kampány a platformba és a felhasználók által közzétett tartalmakba vetett bizalmat használja ki; ehhez nincs szükség a ChatGPT sérülékenységére.
A hivatkozás egy Google Sites-oldalra vezetett, amely Cloudflare-ellenőrzésnek álcázta magát. Az emberi mivolt igazolásának ürügyén a látogatókat arra kérték, hogy másoljanak be és futtassanak egy parancsot Windowsban. A ClickFix nevű technika lényegében az áldozattal indíttatja el a kártevő telepítését. A vizsgált esetben egy nyolclépéses lánc távoli hozzáférésű trójait telepített: ehhez egy Canon által aláírt, legitim alkalmazást és egy hangfájlban elrejtett kódot is felhasználtak. A Huntress legalább 40, az adott oldalhoz kapcsolódó incidenst vizsgált, amelyek közül kettőnél megerősítették, hogy a hamis GPT volt a belépési pont.
Az Island biztonsági cég külön jelentése hasonló kampányt ír le: mintegy 850, fizetett hirdetésekből érkező látogatást, 26 ChatGPT-t utánzó céloldalt és 71 Google Ads-kampányazonosítót követtek. Ezek a számok a megfigyelt infrastruktúra aktivitását jelzik, nem a megfertőzött számítógépek számát. A támadók egyedi GPT-ket és megosztott beszélgetéseket használtak ugyanannak a történetnek a terjesztésére: a szolgáltatás állítólag túlterhelt, ezért alternatív címre kell menni. A következő oldal a vágólap tartalmának futtatását kérte; az elemzés a NetSupport RAT-tel összeegyeztethető működést azonosított.
A fő figyelmeztető jel az, ha egy állítólagos CAPTCHA-ellenőrzéshez parancs futtatását kérik. Egy valódi ellenőrzéshez nem kell megnyitni a PowerShellt vagy a Windows Futtatás ablakát. Az eredeti oldal hiteles domainje sem garantálja, hogy egy felhasználó által készített chatbot utasításai megbízhatók. A keresési hirdetések csapdája elkerülhető, ha a szolgáltatást alkalmazásból vagy elmentett könyvjelzőn keresztül nyitjuk meg.
Ha már lefuttatta a parancsot, azonnal válassza le a számítógépet a hálózatról, és vizsgáltassa át; fontos jelszavait biztonságos eszközről változtassa meg. A Huntress által leírt trójai hozzáférhet a képernyőhöz, a kamerához, a mikrofonhoz és a fájlokhoz, valamint további kártékony programokat telepíthet.
