Gefälschter ChatGPT-GPT lockte Nutzer mit CAPTCHA in Malware-Falle

Ein schädlicher Custom GPT namens „Plus 5.6“ nutzte die echte ChatGPT-Website als ersten Schritt einer Malware-Falle. Einige Nutzer gelangten über gesponserte Google-Suchergebnisse zu dem GPT. Dieses verwies sie anschließend auf eine vermeintliche „Backup“-Seite bei Google Sites. Dort sollte eine gefälschte Cloudflare-Prüfung sie dazu bringen, einen PowerShell-Befehl auf ihrem eigenen Computer auszuführen. Nicht ChatGPT selbst, sondern dieser Befehl setzte die Infektion in Gang. 1213

So funktionierte die ClickFix-Masche

Die Angreifer stellten „Plus 5.6“ als vermeintliches ChatGPT-Angebot dar. Wer mit dem Custom GPT interagierte, wurde auf eine angebliche Ausweichseite verwiesen. Dort sollte eine CAPTCHA-ähnliche Prüfung Besucher dazu verleiten, einen Befehl zu kopieren und selbst auszuführen. Diese Form des Social Engineering wird ClickFix genannt. 1211

Die Täuschung setzte auf vertraut wirkende Dienste: ein gesponsertes Suchergebnis, eine Seite auf der echten ChatGPT-Plattform und eine Google-Sites-Seite. Doch keine dieser Oberflächen machte den Befehl sicher. 12

Von PowerShell zum Fernzugriffstrojaner

Der PowerShell-Befehl startete ein verschleiertes Skript, das einen schädlichen MSI-Installer herunterlud und ausführte. In einem weiteren Schritt kam DLL-Sideloading zum Einsatz: Eine legitime, signierte Canon-Anwendung lud dabei eine schädliche DLL. So konnten die Angreifer ein vertrauenswürdig wirkendes Programm für die nächste Phase der Infektion nutzen. 58

Laut Huntress-Bericht richtete die Schadsoftware zudem einen Windows-Run-Schlüssel mit dem Namen „Canon Configuration Reader“ ein. Sie prüfte, ob dieser Schlüssel noch vorhanden war, und stellte ihn bei Bedarf wieder her. Das sollte helfen, die Malware nach einer Unterbrechung oder einem Neustart erneut auszuführen. 5

Die finale Schadsoftware war ein Fernzugriffstrojaner, kurz RAT. Berichten zur Kampagne zufolge konnte er unter anderem Fernzugriff auf den Desktop ermöglichen, den Bildschirm anzeigen, Audio und Kamera aufzeichnen, Dateien durchsuchen, Informationen über den infizierten Rechner sammeln und weitere Schadsoftware starten. 8

Eine technische Zusammenfassung berichtet außerdem, dass der RAT über DNS-over-HTTPS mit einer von den Angreifern kontrollierten Command-and-Control-Infrastruktur kommunizierte. Im Bericht werden dafür die Resolver von Cloudflare, Google und Quad9 genannt. 14

Was die Zahl der Vorfälle aussagt – und was nicht

Das Sicherheitsunternehmen Huntress erklärte, sein Security Operations Center habe auf mindestens 40 Vorfälle reagiert, die mit der konkreten Google-Sites-Domain in Verbindung standen. Das bedeutet nicht, dass alle 40 Vorfälle auf den Custom GPT zurückgingen: Huntress bestätigte, dass zwei über eine Custom-GPT-Instanz zustande kamen. 113

Nachdem der erste schädliche GPT entfernt worden war, tauchte ein weiterer mit Verbindung zur Kampagne auf. Das zeigt, warum die Entfernung eines einzelnen Köders eine Kampagne nicht unbedingt beendet: Angreifer können Ersatz erstellen und Nutzer erneut auf eine ähnliche schädliche Seite lotsen. 49

So können sich Nutzer und Unternehmen schützen

• Führen Sie keine Befehle aus, um ein CAPTCHA zu bestehen. Fordert eine Website dazu auf, Text in PowerShell, Terminal oder eine andere Kommandozeile einzufügen, ist das ein deutliches Warnsignal.
• Prüfen Sie das Ziel – nicht nur das Suchergebnis. Eine gesponserte Anzeige oder eine Seite auf einem bekannten Dienst belegt nicht, dass ein Link oder eine Anweisung vertrauenswürdig ist.
• Schulen Sie Mitarbeitende zu ClickFix-Maschen. Unternehmen sollten die Ausführung von Skripten einschränken, wenn sie nicht benötigt wird, und auf unerwartete PowerShell-Aktivitäten achten, auf die eine MSI-Installation oder verdächtiges DLL-Laden folgt. 15
• Wurde der Befehl bereits ausgeführt, sollte das Gerät als möglicherweise kompromittiert gelten. Informieren Sie zeitnah die IT- oder Sicherheitsabteilung, damit sie das Gerät untersuchen und mögliche Risiken für Konten oder weitere Systeme prüfen kann.

Die zentrale Lehre: Die Angreifer nutzten vertraut wirkende Oberflächen, um Vertrauen aufzubauen – für die Infektion mussten Nutzer den Befehl jedoch selbst ausführen. Auch auf einer echten Plattform kann ein irreführender Köder auftauchen. Ein CAPTCHA sollte niemals verlangen, ein Skript auf dem eigenen Computer zu starten.