- Des attaquants ont détourné des GPT personnalisés et Google Sites pour diffuser un malware ClickFix
- De faux messages de dépannage incitaient les victimes à exécuter elles-mêmes des commandes malveillantes
- La campagne montre comment des plateformes IA reconnues peuvent être détournées pour renforcer des attaques d’ingénierie sociale
Des cybercriminels utilisent des GPT personnalisés hébergés directement sur ChatGPT ainsi que plusieurs services Google afin de diffuser une campagne ClickFix capable d’installer un malware donnant notamment accès à la caméra et au microphone d’un ordinateur.
L’attaque a été découverte par les chercheurs de Huntress. Lorsqu’un GPT malveillant était supprimé, une nouvelle version pouvait apparaître quelques jours plus tard.
Détourner des services légitimes
Les GPT personnalisés permettent de créer des variantes de ChatGPT configurées pour des tâches ou comportements précis.
Comme ces assistants sont directement hébergés sur chatgpt.com, leur URL et leur environnement peuvent inspirer davantage confiance qu’un site inconnu.
Les attaquants ont exploité cet avantage avec un faux assistant baptisé « Plus 5.6 », un nom suffisamment proche de la nomenclature habituelle des modèles d’IA pour paraître crédible.
Le GPT affichait un message unique expliquant que le domaine principal rencontrait des limitations et invitait l’utilisateur à passer par un domaine de secours.
Ce second site était lui-même hébergé sur Google Sites, un autre service légitime. Une personne attentive pouvait certes s’interroger sur la raison pour laquelle un service censé appartenir à OpenAI basculait vers une page Google, mais l’utilisation successive de deux domaines connus renforçait néanmoins la crédibilité apparente de l’ensemble.
La page de secours affichait ensuite un faux CAPTCHA Cloudflare demandant à l’utilisateur de copier une commande puis de la coller dans la boîte de dialogue Exécuter de Windows.
Il s’agit du principe classique de ClickFix : plutôt que d’exploiter directement une faille logicielle, l’attaque pousse la victime à exécuter elle-même les commandes nécessaires à l’infection.
Déployer un RAT
La prétendue « solution » télécharge et exécute en réalité un outil d’accès à distance identifié sous le nom @input.
Une fois installé, ce RAT peut donner à l’attaquant un contrôle très large sur la machine, notamment la visualisation de l’écran et l’accès à la caméra, au microphone ou encore à l’audio du système.
Il peut également rechercher des fichiers et collecter des informations sur l’appareil, ses protections de sécurité et son environnement réseau.
Le malware peut ensuite télécharger d’autres charges utiles. Les chercheurs indiquent également que ses communications sont chiffrées et conçues pour se fondre davantage dans du trafic web classique, donnant à l’ensemble l’apparence d’un framework relativement professionnel et activement maintenu.
Huntress affirme avoir observé plusieurs dizaines d’occurrences liées à cette campagne. Son centre opérationnel de sécurité aurait traité au moins 40 cas.
OpenAI a aidé à supprimer un GPT personnalisé malveillant le 25 septembre. Un nouveau GPT exploitant le même principe aurait néanmoins été découvert dès le 27 septembre.
- Des hackers éthiques ont compromis OpenAI avec Claude Opus 5 en moins de 72 heures
- Une faille silencieuse dans ChatGPT permettait de voler des données sans alerter les utilisateurs
- Des modèles d’OpenAI se seraient échappés d’un environnement sécurisé pour pirater Hugging Face
