L’articolo in 3 domande
Come hanno fatto i criminali a pubblicare GPT falsi sulla piattaforma ufficiale OpenAI?
OpenAI consente a chiunque di creare Custom GPT, configurarli e pubblicarli senza controlli preventivi. Gli attaccanti hanno sfruttato questa apertura per pubblicare un GPT chiamato "Plus 5.6" con istruzioni malevole ospitate sulla stessa infrastruttura del servizio originale. La rimozione avviene solo dopo segnalazione: il primo è stato eliminato il 25 settembre, ma due giorni dopo ne era già attivo un secondo.
Perché il malware è così difficile da rimuovere una volta installato?
Il malware crea sia una chiave Run nel Registro di Windows sia un'attività pianificata, entrambe con il nome "Canon Configuration Reader" per mimetizzarsi. Se un amministratore elimina manualmente queste voci, entrambe si ripristinano automaticamente. La persistenza è garantita da un file system cifrato personalizzato con 1.128 voci, costruito appositamente dai criminali per nascondere script e payload.
Quali controlli tecnici possono bloccare questo tipo di attacco?
Il segnale principale è PowerShell che richiama msiexec.exe per installare MSI dalla cartella temporanea di sistema. La contromisura più efficace è limitare i privilegi di esecuzione di PowerShell e msiexec.exe agli amministratori di sistema, impedendo agli utenti standard di eseguire il comando malevolo. Serve una decisione preventiva, non un intervento dopo l'infezione.
Un attaccante ha pubblicato ChatGPT contraffatti direttamente sulla piattaforma ufficiale di OpenAI, li ha promossi tramite annunci sponsorizzati su Google e ha infettato almeno 40 sistemi aziendali con un trojan ad accesso remoto. La tecnica sfrutta la fiducia verso il dominio chatgpt.com e una falsa schermata di verifica per convincere le vittime a eseguire codice malevolo.
Il meccanismo è stato documentato da Huntress, società specializzata in rilevamento delle minacce. Il primo GPT contraffatto è stato rimosso da OpenAI il 25 settembre. Due giorni dopo, il 27 settembre, ne era già attivo un secondo.
La catena di attacco parte da una piattaforma legittima
Il Custom GPT si chiamava "Plus 5.6" ed era pubblicato sulla piattaforma ufficiale di OpenAI. Gli utenti ci arrivavano tramite risultati sponsorizzati su Google Search, quindi passavano attraverso il dominio chatgpt.com prima di essere reindirizzati verso una pagina ospitata su Google Sites.
Questa pagina mostrava una falsa schermata di verifica Cloudflare con la richiesta di incollare un comando PowerShell nel terminale di Windows per "completare la verifica". Il comando scaricava e installava un pacchetto MSI che, attraverso una tecnica chiamata DLL sideloading, caricava il malware utilizzando un eseguibile legittimo e firmato digitalmente.
Il punto critico è che OpenAI consente a chiunque di creare GPT personalizzati, configurarli con istruzioni specifiche e pubblicarli. In questo caso, le istruzioni malevole erano ospitate sulla stessa infrastruttura del servizio originale, abbassando drasticamente la soglia di sospetto delle vittime.
Huntress ha documentato almeno 40 incidenti totali, con due casi confermati che originavano direttamente dal GPT contraffatto.
Il malware installa un RAT con persistenza automatica
Il payload finale è un trojan ad accesso remoto con capacità complete: accesso al desktop, cattura audio e video dalla fotocamera, ricerca di file, ricognizione del sistema ed esecuzione di payload aggiuntivi.
Per garantire la sopravvivenza, il malware crea una chiave Run nel Registro di Windows e un'attività pianificata, entrambe denominate "Canon Configuration Reader". Il nome è scelto per mimetizzarsi tra i processi di sistema. Se un amministratore elimina manualmente queste voci, entrambe si ripristinano automaticamente.
L'eseguibile utilizzato per il DLL sideloading era inizialmente firmato Canon, poi nelle versioni successive firmato Stardock. Questi certificati legittimi aiutano il malware a superare i controlli di sicurezza di base.
La fase più elaborata dell'attacco prevede un file system cifrato personalizzato per nascondere script di persistenza e il RAT stesso. Non si tratta di un semplice file cifrato, ma di un archivio con struttura a cartelle propria: un header iniziale, un indice di 1.128 voci (ciascuna con riferimento al percorso padre, dimensione e chiave di cifratura individuale) e contenuti impacchettati in sequenza. Un archivio zip cifrato costruito da zero dai criminali.
Larga parte della catena d'infezione opera in memoria o si appoggia a file dall'apparenza legittima, rendendo difficile il rilevamento.
I segnali di allerta per i team IT
Huntress indica come segnale principale PowerShell che richiama msiexec.exe per installare silenziosamente un MSI dalla cartella temporanea di sistema. Altri indicatori includono applicazioni firmate avviate da percorsi anomali sotto %LOCALAPPDATA%\Programs\ e voci di persistenza che riappaiono dopo la rimozione.
La capacità degli attaccanti di ricostituire rapidamente il vettore iniziale solleva una questione concreta. OpenAI ha programmato la dismissione dei Custom GPT per l'11 dicembre, ma nella configurazione attuale la piattaforma non offre garanzie sufficienti contro l'abuso sistematico di questa funzione.
Per responsabili marketing e imprenditori, questo caso evidenzia un rischio operativo immediato: i dipendenti che utilizzano strumenti AI per lavoro possono incappare in versioni contraffatte promosse attraverso canali pubblicitari standard. La provenienza da dominio legittimo e la presenza negli annunci Google abbassano le difese naturali.
Le contromisure efficaci non sono tecniche ma organizzative: policy chiare sull'uso di strumenti AI, verifica degli URL effettivi prima di interagire con Custom GPT trovati tramite ricerca, blocco dell'esecuzione di comandi PowerShell da parte di utenti non amministrativi. Il monitoraggio delle attività pianificate e delle chiavi Run nel Registro può rilevare infezioni già avvenute, ma a quel punto il danno è fatto.
La tecnica ClickFix sfrutta la fretta dell'utente
La tecnica ClickFix non è nuova, ma qui assume una forma più credibile del solito. Il meccanismo si basa sull'ingegneria sociale: una falsa schermata di errore o verifica che convince l'utente a eseguire un comando "per risolvere il problema".
In questo caso, la catena di fiducia è particolarmente solida: annuncio Google, dominio chatgpt.com, pagina su Google Sites, verifica Cloudflare apparentemente legittima. Ogni passaggio rinforza la credibilità del successivo.
Il comando PowerShell viene presentato in una finestra da cui l'utente può copiarlo con un clic. La vittima non deve scrivere nulla, solo incollare ed eseguire. La fretta di "sbloccare" l'accesso a ChatGPT fa il resto.
Per un'azienda, il punto debole non è il perimetro di rete ma il comportamento dell'utente sotto pressione temporale. I dipendenti cercano strumenti AI per lavorare più velocemente, incontrano un ostacolo apparente (la verifica Cloudflare), vedono una soluzione semplice (incolla questo comando) e procedono.
La soluzione tecnica esiste: limitare i privilegi di esecuzione di PowerShell e msiexec.exe agli amministratori di sistema. Ma richiede una decisione a monte, non un intervento reattivo dopo l'incidente.
OpenAI chiuderà i Custom GPT a dicembre senza risolvere il problema
La dismissione dei Custom GPT prevista per l'11 dicembre chiude questa specifica vulnerabilità, ma non affronta la questione di fondo: come verificare l'autenticità di contenuti pubblicati su piattaforme aperte.
Il modello di OpenAI consente a chiunque di pubblicare GPT personalizzati senza controlli preventivi. La rimozione avviene solo dopo la segnalazione, quando il danno è già in corso. Il secondo GPT malevolo individuato da Huntress il 27 settembre era ancora attivo al momento della pubblicazione del report.
Per le aziende che hanno adottato strumenti AI nei processi di lavoro, questo caso richiede una revisione delle policy di utilizzo. Non basta affidarsi ai controlli della piattaforma: serve formazione specifica sui rischi legati a Custom GPT, estensioni e plugin non verificati.
La lezione operativa è che la superficie di attacco si è spostata dalle email di phishing agli strumenti di produttività legittimi. Gli attaccanti non devono più convincere l'utente a cliccare su un allegato sospetto: gli basta intercettare una ricerca Google con un annuncio sponsorizzato e sfruttare la fiducia verso piattaforme note.
Fonti
Le fonti di questo articolo
Scritto dal team Benhanced Aggiornato il
Ti è stato utile? Passalo a qualcuno
