L’articolo in 3 domande
Come hanno fatto gli attaccanti a pubblicare GPT malevoli su chatgpt.com?
OpenAI consente a chiunque di creare GPT personalizzati, configurarli con istruzioni specifiche e pubblicarli sulla piattaforma. Gli attaccanti hanno sfruttato questa funzione per pubblicare Custom GPT contraffatti come "Plus 5.6", promossi poi tramite annunci sponsorizzati su Google Search. Le istruzioni malevole erano ospitate sull'infrastruttura del servizio originale.
Perché il malware è difficile da rimuovere manualmente?
Il malware crea una chiave Run nel Registro di Windows e un'attività pianificata chiamate "Canon Configuration Reader". Se un amministratore elimina manualmente queste voci, si ripristinano automaticamente. Gli autori hanno costruito un file system cifrato personalizzato con 1.128 voci indicizzate per nascondere script di persistenza e il trojan.
OpenAI ha risolto il problema dopo la rimozione del primo GPT malevolo?
No. OpenAI ha rimosso il primo GPT malevolo il 25 settembre, ma due giorni dopo Huntress ha individuato un secondo GPT collegato alla stessa campagna, ancora attivo al momento della pubblicazione del report. La piattaforma, nella configurazione attuale, non offre garanzie contro l'abuso sistematico di questa funzione.
Un Custom GPT contraffatto chiamato "Plus 5.6" è stato pubblicato sulla piattaforma legittima di OpenAI e promosso attraverso annunci sponsorizzati su Google Search. Chi ci interagisce viene reindirizzato verso una pagina su Google Sites che simula una verifica Cloudflare e chiede di incollare un comando PowerShell nel terminale Windows. A quel punto il sistema è compromesso.
Huntress, azienda specializzata in rilevamento e risposta alle minacce, ha documentato almeno 40 incidenti legati a questa campagna, con due casi confermati partiti direttamente dal GPT contraffatto. OpenAI ha rimosso il primo GPT malevolo il 25 settembre, ma due giorni dopo ne è comparso un secondo, ancora attivo al momento della pubblicazione del report.
La catena d'attacco sfrutta domini legittimi
Il meccanismo usa ClickFix, una tecnica di ingegneria sociale che convince l'utente a eseguire volontariamente codice dannoso. La peculiarità qui è il punto di partenza: chatgpt.com, dominio legittimo che abbassa drasticamente il livello di guardia.
OpenAI permette a chiunque di creare GPT personalizzati, configurarli con istruzioni specifiche e pubblicarli. In questo caso le istruzioni malevole erano ospitate sull'infrastruttura del servizio originale. Il Custom GPT reindirizza verso Google Sites, altro dominio considerato affidabile, dove appare una finta schermata di verifica Cloudflare.
Il comando PowerShell scarica un pacchetto MSI che usa DLL sideloading: un eseguibile legittimo e firmato (prima Canon, poi Stardock nelle versioni successive) carica una DLL modificata contenente il payload. Il risultato è un trojan ad accesso remoto con capacità di controllo del desktop, cattura audio e video dalla fotocamera, ricerca file, ricognizione del sistema ed esecuzione di payload aggiuntivi.
Persistenza progettata per resistere alla rimozione manuale
Il malware crea una chiave Run nel Registro di Windows e un'attività pianificata, entrambe chiamate "Canon Configuration Reader". Il nome è scelto per mimetizzarsi tra i processi di sistema. Se un amministratore elimina manualmente queste voci, si ripristinano automaticamente.
Gli autori hanno costruito un file system cifrato personalizzato per nascondere script di persistenza e il RAT. Non un semplice blob cifrato, ma un archivio con struttura a cartelle propria: un header iniziale, un indice di 1.128 voci (ciascuna con riferimento al percorso padre, dimensione e chiave di cifratura individuale) e contenuti impacchettati in sequenza. Un archivio zip cifrato costruito da zero.
La maggior parte della catena d'infezione opera in memoria o si appoggia a file dall'apparenza legittima. Huntress indica come segnale principale PowerShell che richiama msiexec.exe per installare silenziosamente un MSI dalla cartella temporanea di sistema. Altri indicatori: applicazioni firmate avviate da percorsi anomali sotto %LOCALAPPDATA%\Programs\ e voci di persistenza che ricompaiono dopo la cancellazione.
Cosa fare se gestisci la sicurezza aziendale
Se nella tua azienda si usa ChatGPT, il problema non è solo tecnico. I Custom GPT appaiono sulla piattaforma ufficiale e possono essere promossi tramite Google Ads. Un dipendente che cerca "ChatGPT" può cliccare su un annuncio sponsorizzato, arrivare a un GPT contraffatto ospitato su chatgpt.com e seguire istruzioni che sembrano provenire da una fonte affidabile.
La capacità degli attaccanti di ripubblicare rapidamente il vettore iniziale dopo la rimozione è il dato che conta. OpenAI ha tolto il primo GPT il 25 settembre, il secondo era già attivo il 27. La piattaforma, nella configurazione attuale, non offre garanzie contro l'abuso sistematico di questa funzione.
OpenAI dismisserà i Custom GPT l'11 dicembre. Nel frattempo, i team IT devono monitorare l'esecuzione di PowerShell che richiama msiexec.exe, verificare le voci di persistenza che si ricreano dopo la cancellazione e bloccare l'installazione di MSI da percorsi temporanei senza approvazione esplicita. Per chi usa soluzioni di gestione degli endpoint, Huntress suggerisce di impostare alert su applicazioni firmate avviate da %LOCALAPPDATA%\Programs\ quando il percorso non corrisponde a software aziendale approvato.
La formazione non basta quando il vettore è un servizio legittimo
Dire ai dipendenti di non fidarsi di email sospette funziona quando l'email è palesemente falsa. Qui l'utente cerca ChatGPT, clicca su un risultato sponsorizzato, atterra su chatgpt.com e interagisce con un GPT pubblicato sulla piattaforma ufficiale. La catena di fiducia è intatta fino al momento in cui gli viene chiesto di incollare codice nel terminale.
La tecnica ClickFix sfrutta proprio questo: trasforma l'utente in complice involontario facendogli eseguire un'azione che sembra risolvere un problema tecnico. La finta schermata Cloudflare su Google Sites aggiunge un ulteriore livello di credibilità. Due domini considerati sicuri, nessun download diretto da fonti sospette, nessun allegato email.
Le aziende che hanno adottato ChatGPT come strumento di lavoro devono decidere se limitare l'accesso ai soli GPT approvati internamente, bloccare l'uso di Custom GPT esterni o implementare controlli più stringenti sull'esecuzione di comandi PowerShell. La dismissione dell'11 dicembre chiuderà questo vettore specifico, ma la logica dell'attacco resta valida: se una piattaforma legittima permette contenuti generati dagli utenti senza controllo preventivo, diventa superficie d'attacco.
Fonti
Le fonti di questo articolo
Scritto dal team Benhanced Aggiornato il
Ti è stato utile? Passalo a qualcuno
