Siber suçlular, Google reklamlarını ve ChatGPT temalı sayfaları kötüye kullanarak Windows kullanıcılarını zararlı yazılım enfeksiyonuna sürüklüyor ve bu enfeksiyon nihayetinde saldırganlara tehlikeye girmiş bilgisayarlara uzaktan erişim sağlıyor.
Kampanya, “chatgpt” gibi sorgular için sponsorlu arama sonuçlarının görünmesiyle başlıyor. Bazı reklamlar, kullanıcıları yasal ChatGPT sitesinde barındırılan saldırgan tarafından oluşturulmuş içeriğe yönlendiriyor ve bu da ilk aşamayı geleneksel sahte giriş veya indirme sayfalarından çok daha güvenilir gösteriyor.
Araştırmacılar, kötü niyetli Özel GPT’lerin kullanıcıların ne sormasına bakılmaksızın aynı betikli yanıtı döndürebileceğini buldu. Yanıt, hizmetin yoğun trafik veya erişilebilirlik sorunları yaşadığını iddia etti ve ziyaretçileri sözde yedek bir web sitesine yönlendirdi.
Bu bağlantıyı takip etmek kurbanı ChatGPT’den uzaklaştırdı ve sonunda Cloudflare güvenlik kontrolüne benzeyen sahte bir doğrulama sayfası sundu. Normal bir CAPTCHA tamamlamak yerine, Windows kullanıcılarına Çalıştır diyalogunu açmaları, pano içeriğini yapıştırmaları ve çalıştırmaları talimatı verildi.
Bu, ClickFix olarak bilinen bir sosyal mühendislik tekniğidir. Web sitesi sessizce kötü amaçlı bir komut hazırlarken, mağdur bu sürecin insan olduğunu doğrulamak için gerekli olduğu izlenimiyle manuel olarak çalıştırmaya ikna edilir.
Yürütüldüğünde, komut PowerShell’i başlatır ve ek bileşenleri indirmeye başlar. Araştırmacılar, teslimat altyapısında çeşitli varyasyonlar gözlemledi; bu da saldırganların kampanya ilerledikçe alan alanlarını, yük paketlerini ve kurulum yöntemlerini düzenli olarak değiştirdiğini gösteriyor.
Son enfeksiyon zinciri, siber suçlular tarafından sıkça kötüye kullanılan meşru bir uzaktan yönetim aracı olan NetSupport RAT’ı yükleyebilir. Kötü niyetli bir şekilde dağıtıldığında, uzaktan erişim yazılımı saldırganlara enfekte bir Windows bilgisayar üzerinde önemli bir kontrol sağlayabilir ve mağdurun başka bir kötü amaçlı web sitesiyle etkileşime girmesine gerek kalmadan daha fazla faaliyet göstermesini sağlayabilir.
Araştırmacılar, kampanyanın arkasındaki önemli bir reklam altyapısını takip etti. Mayıs sonu ile 24 Ağustos arasında, 26 ChatGPT temalı destinasyon ve 71 ayrı Google Ads kampanya kimliğine bağlı yaklaşık 850 ücretli reklam girişi tespit ettiler.
İlgili bir soruşturma, sahte bir Cloudflare doğrulama sayfası aracılığıyla uzaktan erişim amaçlı kötü amaçlı yazılım dağıtmak için kullanılan kötü amaçlı Custom GPT’leri de ortaya çıkardı. Güvenlik araştırmacıları, bir Google Sites yemiyle ilişkili en az 40 olaya yanıt verdi, ancak sadece ikisinin kötü niyetli Custom GPT ile doğrudan etkileşim yoluyla başladığı doğrulandı.
Aldatıcı GPT’lerden biri rapor edildikten sonra kaldırıldı, ancak operatörler hızla başka bir versiyonla geri döndü. Yenisi birkaç gün içinde ortaya çıktı ve saldırganların meşru çevrimiçi hizmetleri hızla değişen dış altyapıyla birleştiren kampanyaları ne kadar kolay yeniden inşa edebileceğini gösterdi.