黑客滥用ChatGPT自定GPT以ClickFix手法植入RAT 逾40人中招

攻击从Google搜索广告开始

据Huntress的调查报告指，攻击者于9月下旬在ChatGPT平台上建立名为「Plus 5.6」的自定GPT，企图让受害者误以为正在与真正的ChatGPT模型对话。

受害者多经Google搜索「chatgpt」时点击一个带有Google Ads追踪参数的赞助结果进入该页面。该自定GPT被设定为对任何提问都回复一则「服务可用性通知」，指主要域名服务有限，建议用户升级订阅或改用「备用域名」以即时取得服务。

假Cloudflare验证页面触发ClickFix攻击

所谓备用域名其实是架设在Google Sites上的页面，伪装成Cloudflare CAPTCHA验证画面。据报告指，用户在此被诱导复制并粘贴一段PowerShell指令到终端机执行，即典型的ClickFix攻击手法。

该指令会下载并静默安装一个伪装成「Advanced Printer Configuration」的恶意MSI安装程序（ISOSimple.msi），并滥用合法经Canon签署的应用程序（COTFileReadApp.exe）侧载恶意DLL，过程中设有两个持久化机制，均命名为「Canon Configuration Reader」。

八阶段感染链最终部署RAT

Huntress指出，整条感染链长达八个阶段，每个阶段都是用来隐藏下一个阶段。被篡改的Canon DLL加载一个协助程序，从一个.WAV音频文件（Common.Integrator.Preview.wav）中抽取加密加载器，再从一个名为monitor.raw的加密文件系统中解包出木马及持久化脚本。

在最后阶段启动前，恶意程序会绕过AMSI、解除ntdll.dll的监控钩点以规避安全程序的用户模式侦测，并透过检查CPU供应商字串来侦测VMware、VirtualBox、Hyper-V、QEMU、Xen及Parallels等虚拟机环境。

最终植入的RAT功能广泛，包括记录已安装的防病毒软件及Microsoft Defender状态、启动远程桌面会话、抓取镜头与麦克风、识别17种浏览器，以及下载并执行次阶段的EXE、DLL、MSI及多种脚本。

厂商已下架相关GPT但新链接仍活跃

Huntress向OpenAI举报该自定GPT后，OpenAI已于9月25日将其下架，但研究人员于9月27日发现同一活动关连的新自定GPT仍可使用，显示攻击者持续依赖此手法进行社会工程。

Huntress形容，这是威胁分子再次将可信任平台转化为社会工程入口的例子，此前已有活动滥用Claude Artifacts及ChatGPT的分享对话功能散布窃密软件及RAT，情况与早前Carbonato僵尸网络利用Telegram操控AI代理的案例相似，均反映攻击者正不断寻找AI平台中可被滥用的合法功能。