‘Plus 5.6’ के नाम पर फर्जी ChatGPT GPT ने लोगों को मैलवेयर डाउनलोड करने के लिए कैसे फंसाया

एक दुर्भावनापूर्ण Custom GPT, जिसका नाम “Plus 5.6” था, लोगों को मैलवेयर के जाल तक ले जाने के लिए असली ChatGPT वेबसाइट को शुरुआती पड़ाव की तरह इस्तेमाल कर रहा था। कुछ लोग वहाँ Google के प्रायोजित खोज नतीजों से पहुँचे। इसके बाद GPT उन्हें Google Sites पर बने कथित “बैकअप” पेज पर भेजता था। वहाँ नकली Cloudflare सत्यापन के बहाने PowerShell कमांड चलाने को कहा जाता था। संक्रमण ChatGPT से नहीं, बल्कि उस कमांड को चलाने से शुरू हुआ। 1213

क्लिकफिक्स जाल कैसे काम करता था

हमलावरों ने “Plus 5.6” को ऐसे पेश किया, मानो वह ChatGPT की ही कोई पेशकश हो। उपयोगकर्ता इस Custom GPT से बातचीत करते, तो वह उन्हें एक कथित बैकअप पेज का लिंक देता। उस पेज पर CAPTCHA जैसा नकली सत्यापन दिखाकर लोगों से अपने कंप्यूटर पर कमांड कॉपी करके चलाने को कहा जाता था। लोगों को खुद ही खतरनाक कमांड चलाने के लिए मनाने की इस तरकीब को ClickFix कहा जाता है। 1211

धोखे को विश्वसनीय दिखाने के लिए हमलावरों ने पहचाने-पहचाने प्लेटफ़ॉर्म का सहारा लिया: Google का प्रायोजित खोज नतीजा, ChatGPT की असली वेबसाइट पर मौजूद पेज और Google Sites पर बना पेज। लेकिन किसी परिचित सेवा पर दिखने से कमांड सुरक्षित नहीं हो जाती। 12

PowerShell से रिमोट-एक्सेस ट्रोजन तक

PowerShell कमांड ने एक छिपी हुई स्क्रिप्ट चलाई, जिसने दुर्भावनापूर्ण MSI इंस्टॉलर डाउनलोड करके चलाया। इसके बाद DLL sideloading का इस्तेमाल हुआ: एक वैध, डिजिटल हस्ताक्षर वाले Canon प्रोग्राम के जरिए दुर्भावनापूर्ण DLL लोड की गई। इस तरह संक्रमण के अगले चरण में भरोसेमंद प्रोग्राम का इस्तेमाल किया गया। 58

Huntress की रिपोर्ट के मुताबिक, मैलवेयर ने Windows में “Canon Configuration Reader” नाम की Run key के जरिए सिस्टम पर बने रहने की व्यवस्था भी की। यह प्रक्रिया जाँचती थी कि key मौजूद है या नहीं; अगर वह हट गई हो, तो उसे फिर से बना देती थी। इससे रुकावट या कंप्यूटर रीस्टार्ट होने के बाद भी मैलवेयर दोबारा चल सकता था। 5

अंतिम पेलोड एक रिमोट-एक्सेस ट्रोजन (RAT) था—ऐसा मैलवेयर जो हमलावरों को संक्रमित डिवाइस तक दूर से पहुँच दे सकता है। रिपोर्टों में इसके बताए गए कामों में रिमोट डेस्कटॉप से जुड़ना, स्क्रीन देखना, ऑडियो और कैमरा रिकॉर्ड करना, फ़ाइलें खोजना, कंप्यूटर की जानकारी जुटाना और अतिरिक्त पेलोड चलाना शामिल है। 8

एक तकनीकी सारांश के अनुसार, RAT हमलावरों के नियंत्रण वाले कमांड-एंड-कंट्रोल सर्वर से DNS-over-HTTPS के जरिए संपर्क करता था। रिपोर्ट में Cloudflare, Google और Quad9 के resolver का उल्लेख है। 14

40 घटनाओं के आँकड़े का क्या मतलब है—और क्या नहीं

Huntress ने बताया कि उसकी सुरक्षा संचालन टीम ने इस अभियान के खास Google Sites डोमेन से जुड़ी कम-से-कम 40 घटनाओं पर कार्रवाई की। इसका यह मतलब नहीं कि सभी 40 घटनाएँ Custom GPT के जरिए हुईं: Huntress ने पुष्टि की कि उनमें से दो मामले Custom GPT इंस्टेंस से जुड़े थे। 113

पहला दुर्भावनापूर्ण GPT हटाए जाने के बाद, अभियान से जुड़ा एक और GPT सामने आया। इससे पता चलता है कि एक जालसाजी हटाने से पूरा अभियान ज़रूरी नहीं कि रुक जाए—हमलावर उसकी जगह नया GPT बनाकर लोगों को उसी तरह के दुर्भावनापूर्ण पेज पर भेज सकते हैं। 49

उपयोगकर्ता और संगठन जोखिम कैसे घटा सकते हैं

• CAPTCHA पास करने के लिए कमांड न चलाएँ। अगर कोई वेबसाइट PowerShell, Terminal या किसी अन्य कमांड विंडो में टेक्स्ट चिपकाने को कहे, तो इसे गंभीर चेतावनी मानें।
• सिर्फ खोज नतीजे पर नहीं, आगे खुलने वाले पेज पर भी ध्यान दें। प्रायोजित विज्ञापन या किसी जानी-पहचानी सेवा पर होस्ट किया गया पेज इस बात का सबूत नहीं कि लिंक या निर्देश सुरक्षित हैं।
• संगठन कर्मचारियों को ClickFix जैसे जाल के बारे में बताएँ और जहाँ ज़रूरत न हो वहाँ स्क्रिप्ट चलाने पर पाबंदी लगाएँ। बिना अपेक्षा के PowerShell गतिविधि के बाद MSI इंस्टॉल होने या संदिग्ध DLL लोड होने पर नज़र रखें। 15
• अगर किसी ने कमांड चला दी है, तो डिवाइस को संभावित रूप से संक्रमित मानें। तुरंत IT या सुरक्षा टीम को बताएँ, ताकि वह डिवाइस की जाँच कर सके और देख सके कि खाते या दूसरे सिस्टम भी जोखिम में हैं या नहीं।

मुख्य बात यह है कि हमलावरों ने भरोसेमंद दिखने वाले इंटरफ़ेस से विश्वास पैदा किया, लेकिन संक्रमण के लिए उन्हें उपयोगकर्ता से कमांड चलवानी पड़ी। किसी असली प्लेटफ़ॉर्म पर भी भ्रामक जाल हो सकता है—और CAPTCHA पास करने के लिए आपको कभी अपने कंप्यूटर पर स्क्रिप्ट चलाने की ज़रूरत नहीं होनी चाहिए।