Nella barra degli indirizzi c'era scritto chatgpt.com, e il trucco era tutto lì
Ogni consiglio su come evitare software falsi comincia dal controllare la barra degli indirizzi. Qui la barra degli indirizzi diceva il vero. La pagina stava davvero su chatgpt.com, perché gli attaccanti avevano costruito la loro esca dentro la funzione Custom GPT di OpenAI, che permette a chiunque di pubblicare una versione configurata di ChatGPT sul dominio autentico.
Huntress ha pubblicato l'analisi il 28 settembre. Chi cercava "chatgpt" su Google finiva su un risultato sponsorizzato che portava a un Custom GPT chiamato "Plus 5.6", scelto per suonare come un modello ufficiale. Scrivete qualcosa e risponde che l'uso sul dominio principale è limitato, offrendo un dominio di riserva. Il dominio di riserva è una pagina Google Sites con una verifica Cloudflare contraffatta, e quella verifica chiede di incollare una riga in Windows PowerShell per dimostrare di essere umani. Il vero Cloudflare non lo ha mai chiesto a nessuno.
Quello che segue è lungo e studiato. Il comando scarica uno script offuscato, che installa un MSI, che depone un programma firmato da Canon accanto a una DLL manomessa perché Windows carichi quella cattiva sulla reputazione di quella buona. Lo strumento di accesso remoto vero e proprio viaggia dentro un file chiamato Common.Integrator.Preview.wav. Una volta avviato offre desktop remoto, cattura dello schermo, fotocamera e microfono, ricerca nei file e la possibilità di scaricare altro. Huntress ha contato almeno 40 incidenti riconducibili a quella singola pagina Google Sites. OpenAI ha rimosso il primo Custom GPT il 25 settembre; i ricercatori ne hanno trovato un secondo ancora online il 27. La funzione verrà comunque ritirata l'11 dicembre.
La regola che sopravvive a tutto questo è stretta e vale la pena impararla a memoria: nessun sito legittimo, nessun captcha, nessuna pagina di download vi chiederà mai di copiare qualcosa in PowerShell o nella casella Esegui. Se lo avete già fatto una volta, date per scontato che qualcosa sia partito. Il controllo di sicurezza di Tendvane passa in rassegna cosa è installato e cosa parte con Windows, ed è lì che una cosa del genere prima o poi si fa vedere.