Jangan Jalankan Arahan CAPTCHA: GPT ChatGPT Palsu Sebarkan Trojan Akses Jauh

GPT tersuai berniat jahat bernama “Plus 5.6” menjadikan laman ChatGPT sebenar sebagai pintu masuk kepada perangkap malware. Sesetengah pengguna menemuinya melalui iklan Google berbayar. GPT itu kemudian mengarahkan mereka ke laman “sandaran” di Google Sites, tempat semakan keselamatan Cloudflare palsu meminta mereka menyalin dan menjalankan arahan PowerShell. Arahan itulah—bukan ChatGPT sendiri—yang memulakan jangkitan. 1213

Bagaimana perangkap ClickFix berfungsi

Penyerang mempersembahkan “Plus 5.6” seolah-olah ia tawaran ChatGPT. Apabila pengguna berinteraksi dengan GPT tersuai itu, mereka diarahkan ke laman yang kononnya laman sandaran. Laman tersebut memaparkan semakan CAPTCHA palsu dan cuba meyakinkan pengunjung supaya menyalin arahan lalu menjalankannya pada komputer sendiri. Taktik kejuruteraan sosial ini dikenali sebagai ClickFix. 1211

Penggunaan perkhidmatan yang kelihatan dipercayai membantu mengaburi penipuan itu: hasil carian berbayar, halaman pada laman ChatGPT yang sebenar dan laman Google Sites mungkin kelihatan biasa kepada pengguna. Namun, rupa atau tempat pautan itu dihoskan tidak menjadikan arahan tersebut selamat untuk dijalankan. 12

Daripada PowerShell kepada trojan akses jauh

Arahan PowerShell itu melancarkan skrip yang disamarkan, yang memuat turun dan menjalankan pemasang MSI berniat jahat. Pemasang itu kemudian menggunakan teknik DLL sideloading: ia memuatkan DLL berniat jahat melalui fail boleh laksana Canon yang sah dan ditandatangani. Dengan cara ini, program yang dipercayai menjadi sebahagian daripada peringkat jangkitan seterusnya. 58

Menurut laporan Huntress, malware itu turut mengekalkan akses melalui kekunci Windows Run bernama “Canon Configuration Reader”. Mekanisme tersebut memeriksa sama ada kekunci itu masih wujud dan menciptanya semula jika tiada, supaya malware boleh berjalan semula selepas gangguan atau komputer dimulakan semula. 5

Muatan akhirnya ialah trojan akses jauh (RAT)—malware yang membolehkan penyerang mengawal atau memantau peranti dari jauh. Laporan kempen itu menyebut keupayaan seperti akses desktop jauh, melihat skrin, merakam audio dan menggunakan kamera, mencari fail, mengumpul maklumat tentang komputer mangsa serta menjalankan muatan tambahan. 8

Satu ringkasan teknikal menyatakan RAT itu berhubung dengan infrastruktur arahan dan kawalan yang dikendalikan penyerang menggunakan DNS-over-HTTPS. Laporan tersebut menamakan pelayan DNS Cloudflare, Google dan Quad9. 14

Apa yang ditunjukkan oleh angka insiden

Pusat operasi keselamatan Huntress berkata pihaknya bertindak balas terhadap sekurang-kurangnya 40 insiden yang berkaitan dengan domain Google Sites tertentu. Angka itu tidak bermakna kesemua 40 insiden bermula daripada GPT tersuai: Huntress mengesahkan bahawa dua daripadanya melibatkan GPT tersuai. 113

Selepas GPT berniat jahat yang pertama diturunkan, satu lagi GPT yang dikaitkan dengan kempen itu muncul. Ini menunjukkan bahawa menutup satu umpan tidak semestinya menamatkan kempen—penyerang boleh mencipta pengganti dan terus mengarahkan pengguna ke jenis laman berniat jahat yang sama. 49

Cara pengguna dan organisasi mengurangkan risiko

• Jangan jalankan arahan untuk melepasi CAPTCHA. Jika laman meminta anda menampal teks ke PowerShell, Terminal atau ruang arahan lain, anggap itu amaran serius.
• Semak destinasi, bukan sekadar hasil carian. Iklan berbayar atau laman pada perkhidmatan yang biasa digunakan bukan bukti bahawa pautan atau arahannya sah.
• Organisasi perlu melatih kakitangan mengenali taktik ClickFix dan mengehadkan pelaksanaan skrip jika tidak diperlukan. Pantau aktiviti PowerShell yang luar biasa, khususnya jika disusuli pemasangan MSI atau pemuatan DLL yang mencurigakan. 15
• Jika arahan itu sudah dijalankan, anggap peranti mungkin telah diceroboh. Hubungi pasukan keselamatan atau IT organisasi dengan segera supaya peranti boleh disiasat dan risiko kepada akaun atau sistem lain dapat dinilai.

Inti pengajarannya: penyerang menggunakan antara muka yang dipercayai untuk meyakinkan mangsa, tetapi jangkitan bermula apabila mangsa menjalankan arahan itu sendiri. Platform sebenar pun boleh menjadi tempat umpan penipuan dipaparkan. CAPTCHA tidak sepatutnya meminta anda menjalankan skrip pada komputer.