Como o golpe do “Plus 5.6” tentou instalar malware em PCs com Windows

Um anúncio patrocinado do Google para o ChatGPT levou alguns usuários ao “Plus 5.6”, um GPT personalizado criado por atacantes e hospedado no site verdadeiro do ChatGPT. O bot dizia que o serviço estava com problemas de disponibilidade e encaminhava as pessoas para uma suposta página de backup no Google Sites. Lá, uma falsa verificação do Cloudflare tentava convencer usuários do Windows a executar um comando do PowerShell que instalava um trojan de acesso remoto.3617

Como funcionava a isca “Plus 5.6”

O golpe combinava serviços conhecidos e aparentemente legítimos para conquistar a confiança dos usuários:

1. Um resultado patrocinado na busca direcionava quem procurava o ChatGPT ao GPT criado pelos atacantes. O fato de o bot estar no domínio verdadeiro do ChatGPT não significava que fosse oficial.36
2. Um aviso falso sobre o serviço dizia que o ChatGPT estava com problemas de disponibilidade e indicava um suposto site alternativo.612
3. Uma falsa verificação do Cloudflare na página do Google Sites instruía a pessoa a copiar e executar um comando do PowerShell. É uma tática conhecida como ClickFix: em vez de explorar uma falha de software, ela induz a própria vítima a executar o comando malicioso.317
4. A instalação do malware vinha em seguida. Segundo a Huntress, o comando iniciava uma cadeia de infecção em várias etapas, que baixava um arquivo MSI malicioso e instalava um trojan de acesso remoto no Windows.17

Algumas reportagens chamam o trojan de “@input”, mas o resumo da campanha publicado pela Huntress o descreve de forma mais geral como um trojan de acesso remoto. Por isso, o nome deve ser tratado como uma identificação atribuída em reportagens, e não como algo confirmado de forma independente neste material.817

O que os pesquisadores observaram — e o que ainda não está claro

A Huntress identificou dois GPTs personalizados ligados à campanha. A empresa informou ter atendido pelo menos 40 incidentes associados ao domínio específico do Google Sites; dois deles foram confirmados como provenientes de uma instância de GPT personalizado.1417 Essa distinção é importante: os 40 incidentes estavam relacionados ao domínio, mas nem todos foram necessariamente confirmados como infecções causadas pela isca do GPT.

A OpenAI removeu um dos GPTs maliciosos, mas uma segunda versão teria surgido e continuava ativa dois dias depois.1 As reportagens reunidas aqui não esclarecem que medidas o Google tomou em relação aos anúncios, nem confirmam se todos os anúncios e páginas relacionados foram removidos.

Esse não foi o primeiro caso relatado de abuso de uma plataforma confiável de IA. A Huntress já havia descrito uma campanha diferente, envolvendo um Claude Artifact malicioso hospedado no site legítimo do Claude, que afetou mais de 29 organizações.18 O episódio é um exemplo relacionado de como atacantes podem usar plataformas conhecidas como parte de uma isca; ele não demonstra que as campanhas tenham tido o mesmo responsável ou a mesma infraestrutura.

Sinais de alerta e como evitar o golpe

• Um resultado patrocinado é um anúncio, não uma recomendação. Confira para onde o link leva, mesmo que ele abra em um serviço conhecido.36
• Uma plataforma legítima pode hospedar conteúdo criado por atacantes. Veja se o GPT é um produto oficial ou um bot criado por um usuário. Estar em um domínio verdadeiro, por si só, não confirma as alegações do conteúdo.317
• Não execute comandos enviados por uma CAPTCHA ou por um site inesperado. Pedidos para abrir o Executar do Windows, colar texto ou rodar o PowerShell são sinais de alerta — não etapas normais de verificação.3817
• Acesse o ChatGPT diretamente, usando um favorito ou digitando o endereço no navegador, em vez de confiar em um resultado patrocinado inesperado.
• Se você já executou o comando, evite usar o computador afetado para atividades sensíveis e procure rapidamente um profissional de TI ou segurança de confiança.