正規のChatGPT上に偽GPT、ClickFixでWindowsにRATを導入する攻撃を確認

正規のChatGPT上に公開された悪性のカスタムGPTを入口に、Windowsユーザーへ遠隔操作型マルウェアを導入させる攻撃が確認された。セキュリティ企業Huntressによると、検索広告から誘導された利用者は偽の認証画面でPowerShellコマンドの実行を促される。同社は関連するインシデントを少なくとも40件調査し、うち2件でカスタムGPT経由の感染を確認した。

■検索広告から偽の「Plus 5.6」へ

Huntressが調べた一部の事例では、「chatgpt」のGoogle検索結果に表示された広告から、正規のChatGPT上にある「Plus 5.6」というカスタムGPTへ誘導されていた。カスタムGPTは、利用者が特定の用途向けに指示や資料などを設定できるChatGPTの機能である。攻撃者はその機能を使い、ChatGPTの製品を思わせる名前と画面を用意した。

利用者がこのGPTに入力すると、「Service Availability Notice」と題した同じメッセージが返る。主たるサービスの利用が制限されていると称し、Plusへの契約変更か、継続利用のための「バックアップサイト」への移動を促す。移動先はGoogle Sites上のページだった。

そのページはCloudflareの認証画面を装い、利用者にPowerShellコマンドをコピーしてWindowsのターミナルで実行するよう求める。偽の認証やエラーを口実に利用者自身に悪意あるコマンドを実行させる手法は「ClickFix」と呼ばれる。正規ドメイン上のGPTと、見慣れた認証画面を組み合わせた誘導だ。

■コマンドから署名済みアプリへ続く感染経路

Huntressの分析では、提示されたコマンドは難読化されたスクリプトを取得し、悪性のMSIインストーラー「ISOSimple.msi」を静かに実行する。調査対象のコマンドでは、取得先のIPアドレスが通常の「96.62.224.81」ではなく、10進整数の「1614733393」で記されていた。ドット区切りのIPアドレスを探す検査では、この表記を捉えにくい。

MSIは「Softplicity」を発行元とする「Advanced Printer Configuration Reader」を名乗り、Windowsのインストール済みプログラム一覧に表示されない設定を使う。導入後は、キヤノンの正規署名が付いた「COTFileReadApp.exe」を起動する。この実行ファイル自体は改変されていない。

攻撃者は、実行ファイルと一緒に読み込まれるキヤノンのDLL「ceiinfolog.dll」を改変し、悪性の「rdCore.dll」を読み込ませた。正規の実行ファイルに改変DLLを組み合わせるDLLサイドローディングである。実行ファイルの署名に加え、読み込まれるDLLの署名と配置場所を確認する必要がある。

■音声ファイルと暗号化アーカイブに隠したRAT

Huntressによると、rdCore.dllは「Common.Integrator.Preview.wav」という音声ファイルのオフセット「0x24362」から34万1395バイトを読み出し、復号してメモリ上で実行する。ファイルには有効なWAVヘッダーと実際の音声データが含まれる。読み出されたデータは、次の処理を担うx64の機械語コードになる。

同社の解析では、このコードにウイルス対策ソフトによるスクリプト検査を回避する処理や、監視用のフックを外す処理が見つかった。VMware、VirtualBox、Hyper-V、QEMU、Xen、Parallelsに関係する痕跡も調べる。続いて「monitor.raw」という暗号化アーカイブを開き、永続化用スクリプトと最終的なRATを取り出す。

Huntressが復号したアーカイブには315のフォルダーと806のファイルが含まれていた。最終ペイロードは約1.58MBのRATで、遠隔デスクトップ、画面配信、マイクやカメラの入力取得、ファイル検索などの機能を備える。Chrome、Edge、Yandex、Arcなど、認識対象の17種類のブラウザーを特定して起動する機能も分析された。

RATは感染端末のウイルス対策製品、Microsoft Defenderの状態、ドメイン情報、開放ポート、ソフトウェアやハードウェアの情報を調べる。Huntressによると、指令サーバーの探索にはCloudflare、Google、Quad9のDNS-over-HTTPSリゾルバーを利用する。同社が調査した端末の多くでは、署名済みの「GOMCam2024.exe」を配置し、一時的なプロファイルを使うChromeを起動する動きも見られた。

■再起動後も残る仕組みと第2の亜種

キヤノンのアプリを使う亜種は、「Canon Configuration Reader」という名前で、WindowsのレジストリRun項目とスケジュールタスクを作成する。Huntressによると、実行中のスクリプトはRun項目を150秒ごと、タスクを875秒ごとに確認し、消えていれば再作成する。対処時は関連プロセスを停止したうえで、両方の項目を除去する必要がある。

Huntressの報告を受け、最初の悪性GPTは2026年9月25日までに削除された。同社は2日後の27日、同じ「Plus 5.6」という名前で別のGPTを確認した。第2の亜種では最終RATが同一だった一方、署名済みの実行ファイルはStardockの「DeElevate64.exe」に変わり、ローダーはMicrosoftのNuGetパッケージを利用した「Build.dat」に埋め込まれていた。

第2の亜種は、MSIを実行する前に、インターネットから取得したファイルに付く「Mark-of-the-Web」も削除する。Huntressは同じ配布サーバーで「UltraFreeISOCreateWizardSolution.msi」という第3のインストーラー名も確認した。同社はこのファイルの実体を取得していない。

■正規ドメイン上の投稿にも注意

AIサービスの利用者が作成したコンテンツを攻撃に使う事例は、ほかにも報告されている。Huntressは、Claudeの公開Artifactを偽のデスクトップアプリ配布ページとして使い、29組織にSectopRATを送り込んだ「FakeAgent」も調査した。Push Securityは、AIサービスの共有会話を悪用してマルウェアへ誘導する手法を「LLMShare」として報告している。

OpenAIの日本語案内では、カスタムGPTは2026年12月11日に提供終了予定で、承認された一部のEnterpriseワークスペースには2027年2月11日までの延長がある。今回の攻撃では、正規ドメイン上に利用者が作ったGPTが置かれ、そこから外部ページへ誘導された。アクセス先のドメインに加え、ページの作成者と、求められている操作を確かめることが重要になる。

Huntressは防御側に、ファイル名だけに頼らず、一時フォルダーのMSIをPowerShell経由で実行する動きや、通常と異なる場所から起動する署名済みアプリを監視するよう勧めている。署名済みアプリと同じフォルダーにある未署名DLL、削除後に再出現するRun項目やスケジュールタスクも調査の手掛かりとなる。

元記事: Fake ChatGPT Model on Real chatgpt.com Delivers 8-Stage RAT via ClickFix