Злоумышленники перенаправляли жертв на ClickFix через ChatGPT Custom GPTs
Злоумышленники использовали ChatGPT Custom GPTs, чтобы имитировать легитимные сервисные предложения и перенаправлять пользователей на страницу в Google Sites с атакой ClickFix. Huntress связала с соответствующим доменом Google Sites как минимум 40 инцидентов, включая два подтверждённых заражения, связанных с Custom GPTs.
Перенаправление и запуск вредоносного ПО
Пользователям сообщали, что основной домен сервиса доступен с ограничениями, и предлагали перейти на резервный сайт. Там страница имитировала CAPTCHA от Cloudflare и предлагала скопировать и выполнить команду PowerShell. Команда ClickFix запускала PowerShell с обходом политики выполнения, чтобы загрузить и выполнить обфусцированный скрипт.
Скрипт скачивал вредоносный установщик MSI. Тот развёртывал легитимный исполняемый файл с подписью Canon, COTFileReadApp.exe, для подмены вредоносной DLL. Закрепление обеспечивалось через ключ User Run и запланированную задачу Canon Configuration Reader. В более позднем варианте для той же техники подмены использовался подписанный компанией Stardock исполняемый файл DeElevate64.exe.
Вредоносное ПО использовало установщики MSI с именами в формате GUID и временные каталоги. В более новом варианте перед установкой удалялась метка Mark-of-the-Web.
Сокрытие и возможности троянской программы
В первом варианте вредоносный код прятали в файле WAV, во втором его помещали в сжатые данные пакета Microsoft NuGet. Загрузчик шеллкода обходил AMSI, загружал CLR для выполнения .NET в памяти, снимал хуки с ntdll и проверял наличие виртуализации. Затем он расшифровывал собственный зашифрованный архив с конфигурационными данными, скриптами и полезной нагрузкой в виде шеллкода размером 1,58 МБ.
Финальная полезная нагрузка представляла собой троянскую программу для удалённого доступа. Она могла захватывать экран, получать доступ к камере и микрофону, обнаруживать и запускать браузеры, искать файлы, выполнять полезные нагрузки и собирать обширные сведения о системе. Троянская программа могла запускать файлы форматов EXE, DLL и MSI, скрипты PowerShell и другие скрипты, а также архивы.
Для обнаружения канала управления применялся протокол DNS-over-HTTPS через резолверы Cloudflare, Google и Quad9, что позволяло обходить традиционный мониторинг DNS. Троянская программа также устанавливала подписанное программное обеспечение GOMCam и запускала Chrome с временным профилем.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
