脅威アクターが有料検索広告を悪用し、偽のChatGPTダウンロードサイトへ誘導するキャンペーンを展開しています。著名なAIプラットフォームへの信頼を逆手に取るマルバタイジング攻撃が、今後ますます増加する懸念があります。
この攻撃では、本物そっくりの偽サイトとスポンサー掲載（広告枠）を組み合わせ、正規のChatGPTインストーラーに見せかけてマルウェアをダウンロードさせる手口が使われています。
悪意ある偽ChatGPTダウンロードサイトの手口
Evalian SOCのセキュリティ研究者によると、この攻撃ではOpenAIのブランドを巧みに模倣したドメイン「openew[.]app」が使用されており、Windows・macOS向けダウンロードのほか、Chrome拡張機能も提供しているように見せかけています。マルチプラットフォーム対応を装うことで、サイトに信頼感を持たせつつ、より多くのユーザーを標的にしています。
自動検査を回避するために、攻撃者はCAPTCHA認証・高度に難読化されたJavaScript・段階的なペイロード配信を組み合わせており、悪意ある処理のほとんどは実際のユーザー操作が行われた後にのみ実行される仕組みになっています。
インフラ分析の結果、openew[.]appはIPアドレス「144[.]172[.]104[.]205」に解決されており、短期的な悪意あるキャンペーンで多用されるインフラ上にホストされていることが確認されています。
パッシブDNSの記録からこのIPアドレスは複数の不審なドメインと紐付いており、複数の攻撃キャンペーンでインフラが共有されている可能性が示唆されています。
ペイロードの配信はプラットフォームを識別した上で行われます。Windowsユーザーには ChatGPTインストーラーに偽装した悪意ある実行ファイルが、macOSユーザーには初期検出を回避できる別のペイロードが提供されます。また、Chrome拡張機能のリンクは正規のアドオンへリダイレクトすることで疑惑を払拭する工夫も見られます。本物のコンポーネントと悪意あるコンポーネントを組み合わせることで、ユーザーの信頼を獲得しながら静かに感染を広げる仕掛けになっています。
Windowsの主要サンプル（SHA256: 56CC26E88C064B0C423AA8AD6530E58F91D1E4D28FAB1A8BCEDEF16A6582B4D2）は、Electronベースのアプリケーションを展開するInno Setupインストーラーです。ファイル名は「Chat_GPT.exe」ですが、静的解析により不整合なメタデータとOpenAIとは無関係の製品説明が確認されています。
この実行ファイルは「F.F.A.P. Hurkmans Beheer B.V.」という、ChatGPTとの関連性が全く認められない発行者によってコード署名されており、コード署名が信頼の演出に悪用されていることを強く示しています。
組み込まれたChromiumおよびElectronのコンポーネントから、このインストーラーは主にパッケージ化されたランタイム環境のラッパーとして機能していることが分かります。メインペイロード（App.exe、SHA256: D9AD44D43E57B870793FA5CF7FB3A813990D0CBD0C7087BDE70A5E61FB1F1FE6）はランタイムの動作に大きく依存するローダーとして機能しており、静的な検出が困難な設計になっています。
展開されたElectronアーカイブの中から、アナリストはコアロジックとして機能する高度に難読化されたJavaScriptファイル「winter.js」を特定しました。このスクリプトは16進エンコードされた文字列・動的な関数解決・制御フローの難読化を用いて、リバースエンジニアリングを妨害し真の意図を隠蔽しています。
実行はイベント駆動型でユーザー操作と密接に連動しており、CAPTCHA完了後にのみ主要な動作が露出する仕組みになっています。
動的解析の過程でCAPTCHAを完了させたところ、「-ExecutionPolicy Unrestricted -Command -」オプションを付与された複数のPowerShellプロセスが起動されることが確認されました。これは第2段階のコマンドやペイロードが、コマンドラインに現れる形ではなくランタイムで実行されている可能性を示しています。
同時にマルウェアは「%APPDATA%\Satoshi」にChromiumスタイルの永続的なプロファイルディレクトリを作成し、Cookie・ローカルストレージ・キャッシュ・設定を保存します。偽のChatGPTクライアントではなく正規のElectronアプリケーションのように見せかけるための隠蔽工作です。
winter.jsの部分的な難読化解除により、コアおよびサードパーティのNode.jsモジュールが使用されていることが判明し、脅威の対象範囲が大幅に拡大していることが明らかになりました。「system-information」や「os」モジュールによるシステム偵察、「fs」や「zip-lib」によるファイルシステム・アーカイブ操作が可能です。
さらに「child_process」モジュールによるプロセス実行、「http/https」モジュールによる外部ネットワーク通信も確認されています。これらの機能を総合すると、このマルウェアは単純な一回限りのドロッパーではなく、ホスト情報の収集・ファイルシステムの操作・追加ツールの実行・ネットワーク通信を柔軟にこなせる実行フレームワークとして機能していることが分かります。
IoC（侵害の痕跡）
注意：IPアドレスおよびドメインは、誤って解決やハイパーリンク化されることを防ぐため、意図的にデファング（例：[.]）されています。MISP・VirusTotal・SIEMなど、管理された脅威インテリジェンスプラットフォーム内でのみ元の形式に戻してご使用ください。
セキュリティチームはこれらの侵害指標をネットワークおよびエンドポイントの監視に組み込むとともに、信頼されたブランドを模倣して新たにダウンロードされた実行ファイルを監視することが推奨されます。特に、スクリプトエンジンを呼び出すElectronアプリケーション・署名者と製品メタデータの不一致・新規登録の偽サイトドメインへのアクセスに注意してください。
防御の観点から見ると、本キャンペーンはマルバタイジングが初期アクセスの手段として依然として有効であることを示しています。従来のフィッシングではなく、正規の広告プラットフォームとユーザーの意図を逆用する点が特徴です。
CAPTCHAによるゲーティング・難読化されたJavaScript・段階的なイベント駆動型実行を組み合わせた多層的な手法は、サンドボックスやシグネチャベースの検出を回避することを目的としており、対策の重点を振る舞い検知やテレメトリ駆動の制御に移す必要性を示しています。
組織は、エンドポイントの可視化・堅牢なログ収集・異常検知を優先的に整備し、検索結果からのソフトウェアダウンロード後に発生する不審なプロセスチェーンや予期しないアプリケーションディレクトリを検出できる体制を整えることが重要です。
翻訳元: https://gbhackers.com/malicious-chatgpt-download-website-tricks-users/
