كشفت شركة Huntress للأمن السيبراني أن محتالين استغلوا ميزة إنشاء نماذج GPT مخصصة في شات جي بي تي لإطلاق حملة برمجيات خبيثة تستهدف مستخدمي أجهزة ويندوز، مستخدمين اسما مصمما ييبدو كأنه إصدار رسمي من خدمة أوبن إيه آي.

وأنشأ المهاجمون نموذجا مخصصا باسم “Plus 5.6” على نطاق chatgpt.com الحقيقي، قبل الترويج له عبر نتائج بحث مدفوعة على جوجل تظهر لمستخدمين يبحثون عن “شات جي بي تي”.

ولا يعني وجود النموذج على نطاق شات جي بي تي أنه منتج رسمي تابع لأوبن إيه آي، إذ تسمح ميزة Custom GPTs للمستخدمين بإنشاء نماذج مخصصة ونشرها. وأظهر النموذج المزيف أنه منشأ بواسطة “community builder”، إلا أن تصميم الصفحة واسم “Plus 5.6” كانا كافيين لجعله يبدو لبعض المستخدمين كأنه إصدار رسمي.

من شات جي بي تي إلى صفحة مزيفة

عند التفاعل مع النموذج، تظهر رسالة تفيد بأن الخدمة الرئيسية تعمل بطاقة محدودة، وتدعو المستخدم إلى الانتقال إلى “نطاق احتياطي” إذا أراد الوصول الفوري.

لكن الرابط يقود إلى صفحة مستضافة على Google Sites وتحاكي صفحة تحقق تابعة لـCloudflare.

وهنا تبدأ المرحلة الأخطر من الاحتيال، إذ تطلب الصفحة من المستخدم نسخ أمر وتشغيله على جهازه لإثبات أنه شخص حقيقي. ويعرف هذا الأسلوب باسم ClickFix، ويعتمد على إقناع الضحية بتنفيذ الأمر الضار بنفسه بدلا من استغلال ثغرة تقنية مباشرة.

ويقود تنفيذ الأمر إلى سلسلة متعددة المراحل تنتهي بتثبيت Remote Access Trojan أو RAT، وهي برمجية تمنح المهاجم قدرة واسعة على التحكم بالجهاز عن بعد.

ماذا يستطيع المهاجمون فعله؟

وفقا لتحليل Huntress، تستطيع البرمجية الخبيثة بعد تثبيتها تمكين المهاجم من مراقبة شاشة الجهاز والوصول إلى الكاميرا والميكروفون والبحث داخل الملفات، إضافة إلى تحميل برمجيات أخرى وتشغيلها.

واستخدمت سلسلة الإصابة ملفات وبرامج شرعية موقعة رقميا ضمن عملية التحميل، بينها تطبيقات مرتبطة بـCanon وفي موجة لاحقة ببرمجيات Stardock، في محاولة لإخفاء النشاط الخبيث داخل عمليات تبدو موثوقة.

40 حادثة على الأقل

قالت Huntress إن مركز عملياتها الأمنية تعامل مع ما لا يقل عن 40 حادثة مرتبطة بنطاق Google Sites المستخدم في الحملة.

وأكد الباحثون أن حالتين على الأقل بدأتا مباشرة من التفاعل مع نموذج GPT المزيف، بينما لم يثبت أن جميع الحالات الأخرى دخلت من المسار نفسه.

وأبلغ الباحثون أوبن إيه آي بالنموذج الأول، قبل أن تتم إزالته بحلول 25 سبتمبر. لكن نسخة جديدة تحمل الاسم نفسه ظهرت بعد يومين تقريبا، مع تعديلات في سلسلة الإصابة واستمرار الهدف نفسه المتمثل في تثبيت برمجية للتحكم عن بعد.

إعلانات جوجل ضمن مسار الهجوم

لم تعتمد الحملة على وجود النموذج المزيف وحده، بل استخدمت أيضا نتائج بحث مدفوعة لرفع ظهوره أمام أشخاص يبحثون عن شات جي بي تي.

وتكشف هذه الطريقة عن نقطة ضعف بشرية أكثر منها تقنية: المستخدم يرى رابطا يؤدي بالفعل إلى نطاق chatgpt.com، ثم ينتقل لاحقا إلى صفحة خارجية تبدو موثوقة أيضا، ما يقلل احتمالات الشك في المراحل الأولى من الاحتيال.

كما رصد باحثون حملة أخرى خلال الفترة من أواخر مايو حتى أغسطس استخدمت مئات الإعلانات وصفحات متعددة تحاكي شات جي بي تي وتوجه المستخدمين نحو أساليب مشابهة لتثبيت برمجيات خبيثة.

كيف يتجنب المستخدم الخطر؟

أبرز علامة تحذير في هذا النوع من الهجمات هي مطالبة صفحة ويب المستخدم بنسخ أمر ولصقه في PowerShell أو Terminal أو نافذة تشغيل ويندوز.

اختبارات CAPTCHA الطبيعية لا تتطلب من المستخدم تشغيل أوامر نظام يدويا.

كما ينصح بالدخول إلى شات جي بي تي مباشرة عبر الموقع أو التطبيق الرسمي بدلا من الاعتماد على الإعلانات المدفوعة في نتائج البحث، والتحقق من هوية منشئ أي GPT مخصص قبل استخدامه.

وتوضح الحملة كيف يمكن للمهاجمين الجمع بين خدمات شرعية وواجهات مألوفة وإعلانات مدفوعة لبناء سلسلة احتيال تبدو مقنعة في بدايتها، رغم أن الخطوة النهائية تعتمد في الأساس على إقناع الضحية بتشغيل البرمجية الضارة بنفسه.