Uma nova campanha de malvertising está explorando a popularidade do ChatGPT para distribuir malware, utilizando anúncios patrocinados em mecanismos de busca para direcionar usuários a um site falso de download. Pesquisadores de segurança da equipe SOC da Evalian identificaram a operação, que aproveita a marca da OpenAI e anúncios de busca para atrair usuários que procuram ferramentas de IA legítimas.
Descoberta e escopo da campanha
A operação centra-se em um domínio malicioso recém-registrado, que se assemelha a uma página de download oficial do ChatGPT. As vítimas são apresentadas com múltiplas opções de download, incluindo versões para Windows, macOS e uma extensão do Chrome. Embora a extensão do navegador redirecione para uma listagem legítima para construir confiança, os instaladores para Windows e macOS entregam payloads trojanizados. O domínio é registrado via Namecheap e resolve para um endereço IP hospedado em infraestrutura de RouterHosting, um provedor frequentemente observado em campanhas maliciosas de curta duração.
Vetor de ataque e engenharia social
Diferente do phishing tradicional, o malvertising tem como alvo usuários com alta intenção, tornando o comprometimento inicial mais eficaz. A campanha explora a confiança dos usuários na marca do ChatGPT, utilizando anúncios patrocinados que aparecem em resultados de busca legítimos. O domínio malicioso foi registrado recentemente, o que é uma tática comum para evitar detecção por listas de bloqueio de reputação. Os atacantes utilizam uma abordagem de confiança gradual, onde a extensão do Chrome redireciona para uma listagem legítima, enquanto os instaladores executáveis contêm o código malicioso.
Análise técnica do malware
A análise estática revela que o aplicativo para Windows empacota um runtime baseado em Chromium com um payload de JavaScript ofuscado armazenado no arquivo app.asar. Um script grande, identificado como winter.js, contém lógica fortemente ofuscada que usa strings codificadas e padrões de execução dinâmica, dificultando a análise direta. O aplicativo inclui módulos Node.js como child_process, fs e systeminformation, indicando capacidades para reconhecimento do sistema, manipulação de arquivos e execução de comandos. O payload do Windows é distribuído como Chat_GPT.exe e usa um instalador Inno Setup para implantar um aplicativo baseado em Electron.
Evasão e persistência
A análise dinâmica mostra que o malware emprega gateways baseados em CAPTCHA antes de executar sua funcionalidade principal, uma técnica projetada para evadir a detecção automatizada por sandbox. Uma vez que o usuário completa o CAPTCHA, o malware gera vários processos PowerShell com flags de execução como "-ExecutionPolicy Unrestricted", sugerindo uma entrega de payload em estágios onde os comandos são injetados em tempo de execução. O malware cria um perfil estilo Chromium em %AppData%\Satoshi para manter a persistência e armazenar dados como cookies e arquivos de cache. O tráfego de rede embutido referencia serviços legítimos de DNS-over-HTTPS, como Cloudflare e Google, ajudando a obscurecer as comunicações de comando e controle.
Indicadores de comprometimento
Os defensores devem monitorar sinais-chave, incluindo aplicativos Electron inesperados gerando motores de script, metadados de instalador incompatíveis e diretórios incomuns como %APPDATA%\Satoshi. O hash SHA256 do payload do Windows é 56CC26E88C064B0C423AA8AD6530E58F91D1E4D28FAB1A8BCEDEF16A6582B4D2. O hash SHA256 da variante para macOS é 7E5B708F6659B1FAD3AAE7B589A706434FBF21708AEEC5AF5910189B96E25FEF. A infraestrutura de hospedagem inclui o IP 144.172.104.205. A assinatura de código foi emitida para uma entidade não relacionada, F.F.A.P. Hurkmans Beheer B.V., o que é um sinal de inconsistência.
Recomendações para defensores
Monitorar domínios recém-registrados que imitam fornecedores de software e analisar o comportamento do processo, em vez de confiar apenas em assinaturas, permanece crítico. À medida que as ferramentas de IA continuam a ganhar adoção generalizada, campanhas como esta destacam o risco crescente de impersonação de marca na entrega de malware, reforçando a necessidade de maior conscientização do usuário e controles de detecção comportamental. Equipes de segurança devem bloquear o domínio malicioso e configurar alertas imediatos para conexões de saída para o IP hospedado.
Perguntas frequentes
Como os usuários podem se proteger? Instale apenas software de fontes oficiais e verifique a URL antes de baixar. Por que o CAPTCHA é usado? Para evitar detecção por sandboxes automatizadas. O que fazer se o malware for executado? Isolar o sistema e realizar uma análise forense completa.