برنامه های جعلی ChatGPT و کلود آنها بدافزار را در GitHub با نصب کنندگان قابل اعتماد منتشر می کنند و رایانه های ویندوز را در معرض خطر قرار می دهند..
به گزارش سرویس امنیت سایبری مجردجستجوی ChatGPT یا برنامه دسکتاپ Claude در Google ممکن است کاربران را به صفحات دانلود جعلی سوق دهد. محققان Check Point Research کمپینی به نام Yoba را اعلام کرده اند که حدود دو ماه است بر آن نظارت دارند.
مهاجمان مخازن GitHub و صفحات دانلود ساده ای ایجاد کرده اند که شبیه برنامه های رسمی هستند. نام هایی مانند GPT-5.6 Sol، GPT-6 Astra و Claude Opus نیز در این صفحات دیده می شود.
طبق چک پوینت، این صفحات احتمالاً با دستکاری نتایج موتورهای جستجو یا مسموم کردن سئو، به صدر نتایج گوگل رسیده اند. مهاجمان حتی نیازی به جعل امتیازات و ستاره های کاربران نداشتند.
چرا امضای دیجیتال نصاب کافی نیست؟
فایل دانلود شده با فرمت ZIP ارائه شده است. داخل این بایگانی فایل Setup.exe واقعی متعلق به OpenAI یا Anthropic است که دارای امضای دیجیتال معتبر است و ویندوز آن را قابل اعتماد می‌شناسد. با این حال، آرشیو همچنین حاوی یک کتابخانه مخرب به نام winmm.dll است.
هنگامی که کاربر فایل امضا شده را اجرا می کند، DLL را از همان پوشه بارگیری می کند. این تکنیک که DLL sideloading نامیده می شود، به مهاجمان اجازه می دهد تا کدهای مخرب خود را از طریق یک برنامه قانونی اجرا کنند. امضای دیجیتال فقط فایل نصب کننده را پوشش می دهد و صحت فایل جانبی مخرب را تضمین نمی کند.
سپس بدافزار از کاربر برای دسترسی سرپرست سیستم می خواهد. طبق تحلیل Gridinsoft، این بدافزار خود را در مسیر ProgramDataWMProcess نصب می‌کند و یک کار زمان‌بندی شده ایجاد می‌کند. این کار که شبیه Windows Media Player است، پس از هر بار راه‌اندازی مجدد سیستم با سطح دسترسی سیستم، بدافزار را اجرا می‌کند.
بیشتر بخوانید: حملات سایبری اطلاعات مشتریان دو سازنده کیف پول سخت‌افزاری را در معرض دید قرار داد
این بدافزار دستورات خود را از طریق کانال تلگرام دریافت می کند و از درخواست های DNS رمزگذاری شده گوگل برای برقراری ارتباط استفاده می کند. به همین دلیل برای فعالیت خود نیازی به سرور اختصاصی ندارد.
آخرین محموله ای که Check Point شناسایی کرد استخراج کننده ارز دیجیتال XMRig بود. این بدافزار از شبکه Tor برای استخراج استفاده می کرد و زمانی که کاربر فعال بود عملیات استخراج را متوقف کرد. با این حال، لودر آن همچنین قادر به اجرای بدافزارهای دیگر، مانند سرقت کننده رمز عبور یا تروجان های دسترسی از راه دور است.
این بدافزار سیستم‌هایی را که از طرح‌بندی صفحه‌کلید روسی یا دیگر کشورهای مشترک المنافع (CIS) استفاده می‌کنند، هدف قرار نمی‌دهد. اوکراین از این محدودیت مستثنی است.
بیشتر بخوانید: افزونه جعلی کروم دو مک را آلوده کرد و 230000 دلار ارز دیجیتال را به سرقت برد.
Yoba اولین کمپین از این نوع نیست
گزارش هایی در مورد صفحات دانلود جعلی منتشر شده است. روز سه‌شنبه، گزارشی از صفحات دانلود جعلی کلود در دامنه claude.ai منتشر شد که برای سرقت رمزهای عبور طراحی شده‌اند. در اوایل این ماه، یک مدل جعلی به نام ChatGPT “Plus 5.6” برای گسترش تروجان استفاده شد.
مجله Infosecurity همچنین گزارش داد که نسخه قدیمی تر بدافزار Yoba در ماه ژوئن خود را به جای ابزار برنامه نویسی Cursor قرار داده است. این مثال ها نشان می دهد که مهاجمان از نام محصولاتی استفاده می کنند که کاربران به دنبال آن هستند.
بیشتر بخوانید: افشای کلیدهای خصوصی شرکت eMudhra. هشدار برای امنیت اینترنت
چگونه از نصب بدافزار جلوگیری کنیم؟
کاربران باید برنامه های هوش مصنوعی را فقط از صفحات دانلود رسمی توسعه دهندگان دانلود کنند. برنامه Claude در claude.com/download موجود است. نسخه ویندوز ChatGPT نیز از OpenAI و Microsoft Store در دسترس است.
وجود نام یک مدل هوش مصنوعی در عنوان یک مخزن GitHub، حتی اگر آن مخزن در نتایج جستجو رتبه بالایی داشته باشد، به معنای رسمی بودن آن نیست.
اگر کاربر چنین بایگانی را دانلود کرده است، اما هنوز آن را باز نکرده است، باید فایل را بدون اجرای آن حذف کند. اگر نصب کننده را اجرا کرد، باید کامپیوتر را از شبکه جدا کند، پوشه WMProcess را در مسیر ProgramData بررسی کرده و یک اسکن کامل بدافزار را اجرا کند.
منبع همچنین به راهنمایی در مورد مکانیسم حملات ClickFix و ترفندهای مشابهی که مهاجمان برای فریب کاربران استفاده می کنند اشاره کرده است.
گفتگو در مورد این post