Un modelo falso de ChatGPT «Plus 5.6» en chatgpt.com propaga un troyano

Buscar "chatgpt" en Google y hacer clic en el anuncio de arriba puede llevarte al dominio real chatgpt.com. Pero aun así, podrías acabar con un troyano de acceso remoto en tu PC. La empresa de seguridad Huntress describió el 28 de septiembre una campaña en la que los atacantes crearon un GPT personalizado llamado "Plus 5.6" y lo promocionaron con anuncios pagados de Google. Los GPT personalizados son chatbots a medida que cualquier usuario de ChatGPT puede crear y compartir públicamente, y OpenAI los aloja en chatgpt.com. El ataque no se basa en una vulnerabilidad de ChatGPT.

El dominio de respaldo falso

El modelo falso responde a todas las indicaciones con un aviso de servicio. Supuestamente, ChatGPT está funcionando con disponibilidad limitada, así que los usuarios deberían pasarse a Plus o continuar en un dominio de respaldo. El enlace lleva a una página de Google Sites disfrazada de verificación de Cloudflare, que indica a los visitantes que copien un comando y lo peguen en Terminal para demostrar que son humanos. Esta técnica se conoce como ClickFix. El comando inicia PowerShell, que instala un troyano de acceso remoto en el PC con Windows en ocho etapas. El malware se oculta tras una aplicación firmada de Canon y un archivo de audio. Luego, el atacante puede observar la pantalla, grabar la cámara y el micrófono, buscar archivos y cargar más malware.

Huntress contabilizó al menos 40 incidentes relacionados con la página de Google Sites. En dos de ellos, se demostró que la víctima había llegado a través del GPT personalizado. OpenAI eliminó el primer GPT antes del 25 de septiembre, tras el informe de Huntress, y dos días después Huntress encontró uno nuevo con el mismo nombre.

Island contabilizó unas 850 visitas desde anuncios

Un segundo informe proviene de Island, publicado el 1 de octubre. Sus investigadores rastrearon una campaña similar desde finales de mayo hasta el 24 de agosto, con unas 850 visitas desde anuncios pagados, 26 destinos que imitaban a ChatGPT y 71 ID de campañas de Google Ads. También en este caso, los señuelos eran GPT personalizados o chats compartidos en chatgpt.com, y todos daban la misma respuesta: "Estamos experimentando mucho tráfico en este momento. Continúa en nuestro dominio de respaldo". En ese dominio, se indicaba a las víctimas que pulsaran las teclas Windows y R, pegaran el contenido del portapapeles y presionaran Enter. Island observó un comportamiento compatible con NetSupport RAT, una herramienta legítima de asistencia remota que los delincuentes suelen aprovechar. Ninguna de las dos empresas vincula las campañas.

Un dominio real ya no es garantía

La misma idea estuvo detrás de la falsa aplicación de Claude en julio, cuando un anuncio de Bing llevaba a un Artifact en claude.ai. Los atacantes valoran un dominio real porque los filtros de seguridad lo dejan pasar y los usuarios confían en él. De todos modos, OpenAI está retirando los GPT personalizados. Según su centro de ayuda, está previsto que la creación de nuevos GPT finalice el 26 de octubre, y que los existentes se retiren el 11 de diciembre y sean reemplazados por complementos. Los chats compartidos, que Island también encontró como señuelos, seguirán disponibles.

Cómo protegerte

El analista de Huntress Jonathan Semon dijo a Dark Reading: "ningún sitio web, chatbot, página de asistencia ni 'herramienta de verificación' tiene una razón legítima para pedirte que pegues un comando en PowerShell o en cualquier Terminal para verificar quién eres, por muy sofisticado que parezca". Si una página te pide que lo hagas, cierra la pestaña. ChatGPT nunca te envía a un dominio de respaldo, y OpenAI informa de las interrupciones en status.openai.com. Abre chatgpt.com desde un marcador o la aplicación en lugar de buscarlo, así no verás los anuncios. Si ya ejecutaste un comando de ese tipo, desconecta el PC de Internet, ejecuta un análisis antivirus completo y cambia tus contraseñas más importantes desde otro dispositivo.