سوءاستفاده از جی‌پی‌تی‌های سفارشی در حملات کلیک‌فیکس
شرکت هانترس (Huntress)، ارائه‌دهنده خدمات مدیریت‌شده شناسایی و پاسخ‌گویی به تهدیدات سایبری (MDR)، کمپین مخربی را شناسایی کرده است که در آن مهاجمان با سوءاستفاده از جی‌پی‌تی‌های سفارشی، از حملات کلیک‌فیکس برای فریب کاربران و ترغیب آن‌ها به اجرای دستورهای مخرب و نصب تروجان دسترسی از راه دور (RAT) استفاده می‌کنند. به گفته پژوهشگران این شرکت، حمله مرتبط با این کمپین، ده‌ها کاربر را تحت تأثیر قرار داده است.
عامل تهدید، جی‌پی‌تی مخرب خود را با نام «Plus 5.6» ایجاد کرده و آن را به‌گونه‌ای پیکربندی کرده است که کاربران را به وب‌سایتی جعلی برای تهیه نسخه پشتیبان هدایت کند. این وب‌سایت که با هدف فریب کاربران طراحی شده، روی پلتفرم گوگل سایت (Google Sites) میزبانی می‌شود.
زنجیره آلودگی و قابلیت‌های بدافزار
وب‌سایت مخرب، صفحه‌ای جعلی شبیه به فرآیند تأیید امنیتی کلودفلر (Cloudflare) نمایش می‌دهد و از کاربران می‌خواهد برای تکمیل این فرآیند، دستوری را در پاورشل (PowerShell) اجرا کنند. اجرای این دستور، فرآیند آلودگی سیستم را آغاز می‌کند.
پژوهشگران هانترس پیش‌تر حملات مشابهی را شناسایی کرده بودند که در آن‌ها، مهاجمان با ایجاد مکالمات فریبنده در چت‌جی‌پی‌تی، کاربران را به اجرای دستورهای مخرب ترغیب می‌کردند. این حملات نیز از روش کلیک‌فیکس بهره می‌بردند؛ بااین‌حال، استفاده از جی‌پی‌تی‌های سفارشی برای پیشبرد چنین کمپین‌هایی، رویکردی جدید محسوب می‌شود.
در هر دو شیوه حمله، دستورالعمل‌های مخرب در دامنه رسمی ChatGPT.com میزبانی می‌شوند. استفاده از این دامنه معتبر، باعث می‌شود محتوای مخرب قابل‌اعتمادتر به نظر برسد و احتمال اجرای دستورالعمل‌ها از سوی قربانیان افزایش یابد.
با اجرای دستور ارائه‌شده، یک فایل نصب با فرمت MSI مخرب روی سیستم قربانی اجرا می‌شود. این فایل، یک برنامه قانونی دارای امضای دیجیتال معتبر را نصب می‌کند که با بارگذاری یک فایل کتابخانه‌ای پویا (DLL) دست‌کاری‌شده، زمینه اجرای بدافزار را فراهم می‌کند.
بدافزار مورد استفاده در این کمپین، تروجان دسترسی از راه دور (RAT) است که قابلیت‌هایی مانند کنترل دسکتاپ سیستم آلوده از راه دور، ضبط صدا از طریق میکروفون، تصویربرداری با دوربین، جست‌وجو در فایل‌های سیستم، جمع‌آوری اطلاعات درباره سیستم هدف و اجرای پیلودهای مخرب دیگر را در اختیار مهاجم قرار می‌دهد.
برای حفظ پایداری بدافزار (Persistence) و اطمینان از اجرای مجدد آن پس از راه‌اندازی سیستم، دو سازوکار در سیستم آلوده ایجاد می‌شود:
- کلید اجرای خودکار (Run Key)
- تسک زمان‌بندی‌شده (Scheduled Task)
هر دو سازوکار با نام «Canon Configuration Reader» (ابزار خواندن پیکربندی کانن) ثبت می‌شوند و به بدافزار امکان می‌دهند پس از راه‌اندازی مجدد سیستم نیز به‌طور خودکار فعال شود.
شناسایی جی‌پی‌تی‌های مخرب جدید و تغییر روش اجرای حمله
هانترس اعلام کرده است که دست‌کم 40 رخداد مرتبط با صفحه مخرب میزبانی‌شده در گوگل سایت را بررسی کرده، اما تنها دو مورد را به‌طور قطعی مرتبط با یکی از نسخه‌های جی‌پی‌تی سفارشی دانسته است.
OpenAI تا 25 سپتامبر، نخستین جی‌پی‌تی مخرب را از دسترس خارج کرده بود. بااین‌حال، پژوهشگران هانترس در 27 سپتامبر، جی‌پی‌تی مخرب دیگری را شناسایی کردند که با همان کمپین مرتبط بود. این جی‌پی‌تی در زمان انتشار گزارش پژوهشگران همچنان فعال بود.
در حملات جدیدتر، مهاجمان اپلیکیشن میزبان با امضای دیجیتال شرکت کانن (Canon) را با اپلیکیشنی جایگزین کردند که امضای دیجیتال شرکت استاردوک (Stardock) را داشت. همچنین آن‌ها روش پنهان‌سازی و انتقال لودر بدافزار را تغییر دادند، اما پیلود نهایی همچنان بدون تغییر باقی ماند. این موضوع نشان می‌دهد که مهاجمان روش اجرای حملات کلیک‌فیکس را تغییر داده‌اند، اما همچنان از همان پیلود مخرب استفاده می‌کنند.
شناسایی حملات کلیک‌فیکس از طریق بررسی فعالیت پردازه‌ها و شواهد آلودگی
هانترس در گزارش خود، مرحله ششم از زنجیره حمله را بررسی کرده است. در این مرحله، مهاجمان یک فایل‌سیستم رمزگذاری‌شده اختصاصی (Custom Encrypted File System) ایجاد کرده‌اند تا اسکریپت مربوط به اجرای مجدد بدافزار و تروجان دسترسی از راه دور (RAT) را پنهان کنند.
پژوهشگران هانترس توضیح داده‌اند که مهاجمان به‌جای ذخیره داده‌ها در یک بلوک رمزگذاری‌شده، آرشیوی اختصاصی ایجاد کرده‌اند که از ساختاری مستقل شامل فایل‌ها و پوشه‌ها برخوردار است. این آرشیو در واقع نوعی فایل ZIP رمزگذاری‌شده با ساختاری سفارشی است.
ساختار این آرشیو با یک هدر کوچک آغاز می‌شود و پس از آن، ایندکسی (Index) شامل 1128 ورودی قرار دارد. هر ورودی به یک فایل یا پوشه اختصاص دارد و اطلاعاتی مانند دایرکتوری والد (Parent Directory)، اندازه فایل یا پوشه و کلید رمزگذاری اختصاصی فایل را ثبت می‌کند. پس از ایندکس، محتوای فایل‌ها به‌صورت پیوسته و پشت سر هم در آرشیو ذخیره می‌شود.
هانترس توضیح داده است که بیشتر مراحل زنجیره آلودگی در حافظه سیستم اجرا می‌شوند یا به فایل‌هایی متکی هستند که در ظاهر عادی و فاقد محتوای مخرب به نظر می‌رسند. بنابراین، مانیتورینگ فعالیت پردازه‌ها می‌تواند مبنایی برای طراحی سازوکارهای شناسایی این حملات باشد.
پژوهشگران هانترس چند الگو برای شناسایی این حملات معرفی کرده‌اند. یکی از این الگوها، اجرای برنامه نصب ویندوز (msiexec.exe) از طریق پاورشل برای نصب یک فایل با فرمت MSI از پوشه موقت سیستم، بدون نمایش پنجره نصب به کاربر است.
از دیگر نشانه‌های مشکوک می‌توان به اجرای یک اپلیکیشن دارای امضای دیجیتال معتبر از مسیری غیرمعمول در پوشه %LOCALAPPDATA%\Programs\ اشاره کرد. همچنین، اگر مقدار مربوط به اجرای خودکار در رجیستری ویندوز و تسک زمان‌بندی‌شده مرتبط با آن، پس از حذف دوباره ایجاد شوند، این موضوع می‌تواند نشانه‌ای از آلودگی سیستم باشد.
این موارد نشان می‌دهند که برای شناسایی حملات کلیک‌فیکس، علاوه بر بررسی فایل‌های ذخیره‌شده روی سیستم، باید نحوه اجرای پردازه‌ها، مسیر اجرای اپلیکیشن‌ها و سازوکارهایی را نیز بررسی کرد که باعث اجرای مجدد بدافزار پس از راه‌اندازی سیستم می‌شوند.
