Los investigadores de amenazas de Huntress han documentado una campaña que abusó de configuraciones personalizadas de ChatGPT y resultados de búsqueda patrocinados para dirigir a los usuarios hacia páginas ClickFix. Las páginas presentaban un paso de verificación falso e indicaban a los visitantes que ejecutaran comandos de PowerShell que instalaban malware de acceso remoto.
Las plataformas legítimas aportaron credibilidad al señuelo
Los GPT maliciosos estaban alojados en el dominio legítimo de ChatGPT y dirigían a los usuarios a una página de respaldo en Google Sites. Esa página imitaba una comprobación de Cloudflare y después proporcionaba un comando que descargaba un paquete MSI. La cadena de instalación utilizaba una aplicación firmada y una DLL modificada para cargar la carga útil.
Huntress afirmó que el troyano de acceso remoto permitía controlar el escritorio, capturar audio y vídeo de la cámara, buscar archivos, realizar reconocimiento del equipo y entregar cargas útiles adicionales. La persistencia se basaba en una clave Run del registro y una tarea programada.
Las instrucciones alojadas mediante IA requieren el mismo escrutinio que los enlaces de correo electrónico
Las organizaciones deberían bloquear la ejecución de comandos no confiables, supervisar la actividad sospechosa de PowerShell e investigar los archivos binarios firmados que carguen DLL inesperadas. Los anuncios de búsqueda y las orientaciones alojadas mediante IA no deberían considerarse asistencia de software confiable. Los administradores también deberían revisar los asistentes personalizados publicados y retirar los modelos no aprobados de los flujos de trabajo empresariales. SectechMedia realiza un seguimiento de los riesgos relacionados en su cobertura de ciberseguridad.
Deja una respuesta