Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

Custom ChatGPTs push ClickFix attacks to deploy RAT malware

1 minute de lecture

Mis à jour :

Menace via GPT personnalisés : Propagation de RAT par ClickFix

Des attaquants exploitent la fonctionnalité des « GPT personnalisés » sur la plateforme d’OpenAI pour diffuser des logiciels malveillants via des publicités Google. En utilisant des conversations trompeuses hébergées sur le domaine légitime chatgpt.com, les malfaiteurs dirigent les victimes vers des sites externes appliquant des attaques de type « ClickFix ».

Points clés :

  • Vecteur d’attaque : Utilisation de GPT personnalisés (ex: “Plus 5.6”) pour gagner la confiance des utilisateurs et les inciter à exécuter des commandes PowerShell.
  • Mécanisme d’infection : L’utilisateur est invité à effectuer une fausse vérification de sécurité (ClickFix), déclenchant l’installation d’un fichier MSI.
  • Payload : Un cheval de Troie d’accès à distance (RAT) capable d’espionnage (audio/vidéo), de vol de données et de contrôle à distance.
  • Persistance : Création d’une clé de registre Run et d’une tâche planifiée nommées « Canon Configuration Reader ».
  • Complexité : Les attaquants utilisent un système de fichiers chiffré personnalisé pour dissimuler le malware et ses scripts en mémoire.

Vulnérabilités :

  • Aucune CVE spécifique n’est associée, car l’attaque repose sur l’ingénierie sociale (abus de confiance envers OpenAI) et l’exécution malveillante de scripts PowerShell légitimes par l’utilisateur.

Recommandations :

  • Surveillance des processus : Détecter l’exécution de msiexec.exe initiée par PowerShell depuis des dossiers temporaires.
  • Analyse comportementale : Surveiller le lancement d’applications signées (ex: Canon ou Stardock) à partir de répertoires inhabituels dans %LOCALAPPDATA%\Programs\.
  • Indicateurs de persistance : Supprimer et auditer les clés de registre Run et les tâches planifiées nommées « Canon Configuration Reader ».
  • Vigilance : Se méfier des instructions provenant de GPT personnalisés incitant à copier-coller des commandes dans PowerShell ou à exécuter des fichiers téléchargés depuis des sources externes.

Source

Vous pourriez aimer