Wie eine gefälschte ChatGPT-Version Windows-Nutzer in eine Malware-Falle lockte

Ein gesponsertes Google-Suchergebnis für ChatGPT führte Nutzer zu „Plus 5.6“ – einem von Angreifern erstellten Custom GPT auf der echten ChatGPT-Website. Der Bot behauptete, der Dienst sei vorübergehend nicht verfügbar, und verwies auf eine angebliche Ausweichseite bei Google Sites. Dort sollte eine gefälschte Cloudflare-CAPTCHA-Prüfung Windows-Nutzer dazu bringen, einen PowerShell-Befehl auszuführen. Dieser setzte eine mehrstufige Infektionskette in Gang, die einen Remote-Access-Trojaner installierte.3617

So funktionierte die Masche

Die Angreifer kombinierten bekannte, seriös wirkende Dienste, um Vertrauen zu schaffen:

1. Eine gesponserte Suchanzeige führte Menschen, die nach ChatGPT suchten, zum von den Angreifern erstellten GPT. Dass dieser auf der echten ChatGPT-Domain lag, bedeutete nicht, dass er offiziell war.36
2. Eine erfundene Störungsmeldung behauptete, ChatGPT sei nur eingeschränkt verfügbar, und verwies auf eine vermeintliche Ausweichseite.612
3. Eine gefälschte Cloudflare-Prüfung auf der Google-Sites-Seite forderte Besucher auf, einen PowerShell-Befehl zu kopieren und auszuführen. Bei dieser sogenannten ClickFix-Masche wird keine Software-Schwachstelle ausgenutzt: Die Betroffenen werden dazu gebracht, den schädlichen Befehl selbst zu starten.317
4. Die Malware-Installation erfolgte im Anschluss. Huntress zufolge lud der Befehl eine schädliche MSI-Datei herunter und startete eine mehrstufige Infektionskette, die einen Remote-Access-Trojaner auf Windows installierte.17

In manchen Berichten wird der Trojaner „@input“ genannt. Die vorliegende Zusammenfassung von Huntress bezeichnet ihn allgemeiner als Remote-Access-Trojaner. Der Name „@input“ sollte daher als berichtete Bezeichnung verstanden werden; unabhängig bestätigt ist er hier nicht.817

Was Sicherheitsforscher beobachteten – und was offenbleibt

Huntress identifizierte zwei Custom GPTs, die mit der Kampagne in Verbindung standen. Das Unternehmen berichtete, auf mindestens 40 Vorfälle im Zusammenhang mit der betreffenden Google-Sites-Domain reagiert zu haben. Bei zwei davon sei bestätigt worden, dass sie über einen Custom-GPT-Aufruf zustande kamen.1417 Die Unterscheidung ist wichtig: Die 40 Vorfälle standen mit der Domain in Verbindung; nicht alle sind damit als Infektionen über den GPT-Köder bestätigt.

OpenAI entfernte einen der schädlichen GPTs. Zwei Tage später soll jedoch eine zweite Variante aufgetaucht und weiterhin erreichbar gewesen sein.1 Aus den hier vorliegenden Berichten geht nicht hervor, welche Maßnahmen Google gegen die Anzeigen ergriff oder ob alle Anzeigen und zugehörigen Seiten entfernt wurden.

Es war nicht der erste bekannte Fall, in dem eine vertrauenswürdig wirkende KI-Plattform als Teil eines Köders missbraucht wurde. Huntress hatte zuvor über eine separate Kampagne mit einem schädlichen Claude Artifact auf der echten Claude-Website berichtet, von der mehr als 29 Organisationen betroffen waren.18 Das ist ein vergleichbares Beispiel für den Missbrauch bekannter Plattformen – belegt aber weder denselben Urheber noch eine gemeinsame technische Infrastruktur.

Warnsignale: So lässt sich die Masche vermeiden

• Eine gesponserte Anzeige ist Werbung, keine Empfehlung. Prüfen Sie genau, wohin ein Link führt – auch wenn er auf einer bekannten Plattform landet.36
• Auf einer echten Plattform können Inhalte von Angreifern stehen. Achten Sie darauf, ob ein GPT ein offizielles Angebot oder ein von Nutzern erstellter Bot ist. Eine vertrauenswürdige Domain bestätigt nicht automatisch dessen Behauptungen.317
• Führen Sie keine Befehle aus, die Ihnen eine CAPTCHA-Seite oder eine unerwartete Website vorgibt. Die Aufforderung, Windows „Ausführen“ zu öffnen, Text einzufügen oder PowerShell zu starten, ist ein ernstes Warnsignal – kein normaler Verifizierungsschritt.3817
• Rufen Sie ChatGPT direkt auf, etwa über ein Lesezeichen oder eine selbst eingegebene Adresse, statt einem unerwarteten gesponserten Suchergebnis zu folgen.
• Falls Sie den Befehl bereits ausgeführt haben: Nutzen Sie den betroffenen Computer nicht für sensible Aktivitäten und wenden Sie sich zeitnah an eine vertrauenswürdige IT- oder Sicherheitsfachkraft.