Egy kiberbiztonsági incidensben támadók úgy használták fel a ChatGPT Custom GPT funkcióját, hogy az áldozat először a valódi ChatGPT weboldalára érkezett. A rosszindulatú GPT innen terelte tovább egy hamis ellenőrző oldalra, ahol végül arra próbálták rávenni, hogy saját maga indítsa el a fertőzést.
A Huntress által feltárt kampány azért érdekes, mert a támadók nem egyszerűen lemásolták egy ismert AI-szolgáltatás weboldalát. A social engineering első lépését egy legitim, megbízhatónak tűnő platformra vitték be.
A hamis „Plus 5.6” tényleg a ChatGPT oldalán volt
A Huntress szeptember végén két, ugyanahhoz a kampányhoz kapcsolódó Custom GPT-t azonosított. Az egyik a „Plus 5.6” nevet kapta, így egy kevésbé tájékozott felhasználó könnyen azt hihette, hogy egy valódi ChatGPT-modellt vagy szolgáltatást lát.
A kutatók által vizsgált esetek egy részében a folyamat már a Google-ben elkezdődött. A felhasználó a „chatgpt” kifejezésre keresett, majd egy szponzorált találatra kattintva a chatgpt.com valódi domainjén található Custom GPT-hez jutott.
Ez fontos különbség egy klasszikus adathalász oldalhoz képest: ezen a ponton a domain valóban a ChatGPT-é volt.
A GPT azonban nem hivatalos OpenAI-modell volt. Az oldal a készítőt „community builderként” jelölte, és az OpenAI saját szolgáltatási feltételei is egyértelművé teszik, hogy a harmadik fél által készített GPT-k nem tekinthetők automatikusan OpenAI által létrehozott vagy támogatott szolgáltatásnak.
Innen indult a valódi támadás
A rosszindulatú GPT lényegében csaliként működött. A felhasználói interakcióra egy hamis szolgáltatás-elérhetőségi üzenettel válaszolt, amely szerint az elsődleges szolgáltatás korlátozottan érhető el, ezért a felhasználó egy „backup domainen” folytathatja.
Ez a link már egy Google Sites-oldalra vezetett.
Az oldal Cloudflare-ellenőrzésnek álcázta magát, majd egy úgynevezett ClickFix támadással arra próbálta rávenni a felhasználót, hogy egy parancsot maga futtasson le a számítógépén. A parancs egy többlépcsős fertőzési folyamatot indított el, amelynek végén egy távoli hozzáférést biztosító kártevő, vagyis RAT került a gépre.
A Huntress technikai elemzése szerint a támadás több módszert kombinált a felismerés és az eltávolítás megnehezítésére. A végső kártevő többek között távoli asztali hozzáférésre, fájlok keresésére, valamint kamera- és mikrofonadatok elérésére is képes volt.
A megbízható domain már nem elég
Az eset üzleti szempontból nem azért érdekes, mert minden vállalkozásnak mostantól külön Custom GPT-biztonsági projektet kellene indítania. Erre ebből az egy kampányból nincs bizonyíték.
A fontosabb tanulság a bizalomról szól.
A felhasználókat hosszú ideje arra tanítjuk, hogy nézzék meg a domaint, kerüljék a gyanús weboldalakat, és ellenőrizzék, valóban a szolgáltató hivatalos oldalán járnak-e. Ez továbbra is hasznos szabály, de önmagában már nem feltétlenül elég.
Ebben a kampányban a felhasználó először egy szponzorált Google-találattal találkozhatott, majd a valódi chatgpt.com domainre érkezett, onnan pedig egy Google Sites-oldalra jutott. A támadók több olyan környezetet fűztek egymás után, amelyek domainneve önmagában nem feltétlenül vált ki gyanút.
A GPT azonban nem hivatalos OpenAI-modell volt. Az oldal a készítőt „community builderként” jelölte, az OpenAI saját szolgáltatási feltételei pedig egyértelművé teszik, hogy egy más felhasználó által készített GPT neve önmagában nem jelenti azt, hogy azt az OpenAI hozta létre, támogatja vagy jóváhagyja.
Ez egyre fontosabb különbség lehet az AI-platformokon: a platform hitelessége és a platformon belül megjelenő tartalom hitelessége nem ugyanaz.
Egy ismert domain, egy AI-asszisztens felülete, vagy akár egy ismerős márkanév önmagában nem teszi biztonságossá azt az utasítást, amely arra kér, hogy hagyd el a szolgáltatást, tölts le valamit, vagy futtass parancsot a saját gépeden.
A Huntress által dokumentált eset egyelőre korlátozott méretű bizonyíték. Nem indokol pánikot, de jól mutatja, hogyan változik a social engineering az AI-platformok terjedésével: a támadóknak nem feltétlenül kell lemásolniuk a megbízható környezetet, ha valamilyen módon be tudják építeni azt magába a támadási láncba.
Források
Huntress — Attackers Abuse ChatGPT Custom GPTs to Deliver RAT via ClickFix -
https://www.huntress.com/blog/chatgpt-custom-gpts-clickfix-rat