كشف باحثون أمنيون في شركة هانتريس (Huntress) عن حملة احتيالية استغلت النطاق الرسمي لمنصة ChatGPT لنشر برمجيات تجسس خبيثة على أجهزة ويندوز، بعد ترويج نموذج مخصص يحمل اسمًا مضللًا هو «Plus 5.6» عبر إعلانات محركات البحث.
واعتمدت الحملة على شراء إعلانات مدفوعة في محرك البحث جوجل لتتصدر نتائج البحث، موجهة الضحايا مباشرة إلى النموذج المنشور داخل النطاق الأصلي chatgpt.com، مما أضفى موثوقية ظاهرية خادعة جعلت المستخدمين يعتقدون أنهم يتعاملون مع إصدار رسمي أطلقته شركة OpenAI.
آلية الخداع عبر تقنية ClickFix واختبار كابتشا المزيف
تبدأ عملية الاختراق بمجرد تفاعل المستخدم مع النموذج وكتابة أي استفسار، حيث يُظهر النظام رسالة تفيد بمحدودية توفر الخدمة حاليًا، ويعيد توجيه المستخدم إلى رابط خارجي بديل. وتستقبل الضحية صفحة احتيالية تنتحل تصميم نظام التحقق الأمني Cloudflare CAPTCHA.
وتطلب الصفحة المزيفة من المستخدم نسخ أمر نصي ولصقه يدويًا داخل موجه الأوامر في نظام ويندوز لإثبات هويته البشرية، وهي تقنية هندسة اجتماعية تُعرف باسم ClickFix؛ إذ تعتمد على إقناع الضحية بتنفيذ البرمجية بنفسه بدلًا من استغلال ثغرات أمنية مباشرة في النظام.
ويؤدي تنفيذ الأمر إلى تحميل وتثبيت حصان طروادة للوصول عن بُعد يُعرف باسم @input (RAT)، والذي يمنح المخترقين تحكمًا واسعًا يشمل:
- مراقبة شاشة الضحية والبث المباشر لها.
- الوصول غير المصرح به إلى الكاميرا والميكروفون والتنصت.
- تصفح الملفات المخزنة وسرقة البيانات الحساسة.
- تنزيل وتثبيت برمجيات خبيثة إضافية في الخلفية.
نطاق الاستهداف وإجراءات الاستجابة
أبلغت شركة «هانتريس» عن النشاط الاحتيالي في 28 سبتمبر بعد توثيق ما لا يقل عن 40 حادثة استهداف مؤكدة. ورغم مسارعة شركة OpenAI إلى حذف النموذج المخصص فور الإبلاغ عنه، رصد الباحثون ظهور نماذج بديلة تتبع نفس النمط بعد فترة وجيزة.
وسبق أن نشرنا: وكلاء OpenAI يتجاوزون نطاق المهام: إخطار 100 مؤسسة باحتمال وصول نماذج الذكاء الاصطناعي لأنظمتها، استغلال نطاق OpenAI الحقيقي في حملة احتيالية لاختراق أجهزة ويندوز.
وأظهر تحقيق موازٍ أجرته شركة آيلاند (Island) أن هذا النشاط يرتبط بموجة أوسع امتدت بين أواخر مايو وأغسطس، وظفت مئات الإعلانات الممولة وعشرات النطاقات والصفحات المنسوخة لانتحال خدمات الذكاء الاصطناعي.
وتحذر التوصيات الأمنية مستخدمي أنظمة التشغيل من الانصياع لأي تعليمات تطلب نسخ نصوص أو أوامر برمجية ولصقها في سطر الأوامر أو نافذة التشغيل؛ إذ لا تتطلب اختبارات التحقق البشرية الحقيقية تنفيذ أي عمليات يدوية داخل النظام، مع التأكيد على أن استضافة نموذج أو صفحة داخل نطاق رسمي لا تعني تلقائيًا سلامة الروابط أو الأوامر الصادرة عنها.