Cybercriminelen misbruiken Google Ads en ChatGPT-gerelateerde pagina’s om Windows-gebruikers in een malware-infectie te drijven die uiteindelijk aanvallers op afstand toegang geeft tot gecompromitteerde computers.
De campagne begint met gesponsorde zoekresultaten die verschijnen voor zoekopdrachten zoals “chatgpt.” Sommige advertenties verwezen gebruikers naar door aanvallers gemaakte content die op de legitieme ChatGPT-website wordt gehost, waardoor de eerste fase aanzienlijk betrouwbaarder lijkt dan een conventionele nep-inlog- of downloadpagina.
Onderzoekers ontdekten dat kwaadaardige Custom GPT’s hetzelfde gescripte antwoord konden geven, ongeacht wat gebruikers vroegen. Het antwoord beweerde dat de dienst veel verkeer of beschikbaarheid ervoer en verwees bezoekers naar een vermeende back-upwebsite.
Na die link verplaatste het slachtoffer zich van ChatGPT en werd uiteindelijk een vervalste verificatiepagina getoond die was ontworpen om op een Cloudflare-beveiligingscontrole te lijken. In plaats van een normale CAPTCHA in te vullen, kregen Windows-gebruikers de instructie om het Run-dialoog te openen, klembordinhoud te plakken en uit te voeren.
Dit is een social engineering-techniek die bekendstaat als ClickFix. De website bereidt stilletjes een kwaadaardig commando voor, terwijl het slachtoffer wordt overgehaald deze handmatig uit te voeren in de veronderstelling dat de stap nodig is om te verifiëren dat ze menselijk zijn.
Eenmaal uitgevoerd start het commando PowerShell en begint het met het downloaden van extra componenten. Onderzoekers observeerden verschillende variaties van de leveringsinfrastructuur, wat aangeeft dat de aanvallers regelmatig van domein, payloadverpakking en installatiemethode wisselden naarmate de campagne vorderde.
De laatste infectieketen kan NetSupport RAT installeren, een legitiem remote administration-instrument dat vaak wordt misbruikt door cybercriminelen. Eenmaal kwaadaardig ingezet, kan remote access-software aanvallers aanzienlijke controle geven over een geïnfecteerde Windows-computer en verdere activiteiten mogelijk maken zonder dat het slachtoffer met een andere kwaadaardige website hoeft te communiceren.
Onderzoekers volgden een aanzienlijke advertentie-infrastructuur achter de campagne. Tussen eind mei en 24 augustus identificeerden ze ongeveer 850 betaalde advertentie-landingen die verbonden waren aan 26 ChatGPT-gerelateerde bestemmingen en 71 afzonderlijke Google Ads-campagne-ID’s.
Een gerelateerd onderzoek bracht ook kwaadaardige Custom GPT’s aan het licht die worden gebruikt om remote access-malware te verspreiden via een nep Cloudflare-verificatiepagina. Beveiligingsonderzoekers reageerden op minstens 40 incidenten die verband hielden met één Google Sites-lok, hoewel slechts twee bevestigd waren dat ze direct begonnen via interactie met de kwaadaardige Custom GPT.
Een van de misleidende GPT’s werd verwijderd nadat deze was gemeld, maar de operators kwamen snel terug met een andere versie. De vervanging verscheen binnen enkele dagen en toonde aan hoe gemakkelijk aanvallers campagnes kunnen herbouwen die legitieme online diensten combineren met snel veranderende externe infrastructuur.