Что понадобится:
- Персональный компьютер под управлением операционной системы Windows.
- Доступ к официальному сайту OpenAI и базовое понимание принципов работы ИИ-платформ.
- Внимательность при переходе по внешним ссылкам из поисковых систем.
Механика новой угрозы с кастомными GPT
Злоумышленники нашли способ задействовать легитимную функцию пользовательских ботов для организации масштабных кибератак. Специалисты по безопасности зафиксировали кампанию, в рамках которой фишинговые ссылки продвигались через спонсорские результаты в поисковых системах. Пользователь переходил на подлинный домен платформы, где размещался кастомный бот с названием вроде «Plus 5.6», имитирующий официальную номенклатуру обновлений, похожую на схемы вроде GPT-3.5 или GPT-5 Pro.
Открывая такого вредоносного бота, пользователь не видел привычного диалогового окна для решения рабочих задач. Вместо этого бот выдавал стандартное сообщение о проблемах с основным сервером и ограниченной доступности сервиса, после чего настойчиво предлагал перейти на «резервный сайт», размещенный на стороннем хостинге Google Sites.
Как распознать фишинговую ловушку
Переход на сторонний ресурс — ключевой маркер опасности. Создатели вредоносного ПО используют сторонние конструкторы сайтов, чтобы усыпить бдительность жертвы. На резервной странице пользователей встречала фальшивая проверка системы безопасности, имитирующая популярные защитные службы вроде Cloudflare.
Схема атаки построена на технике ClickFix, когда человеку под видом «устранения неполадок» или «проверки капчи» предлагают выполнить технические манипуляции вручную.
- Откройте диспетчер задач или проверьте активные вкладки браузера, если подозреваете переход по сомнительной ссылке.
- Обратите внимание на адресную строку: официальный помощник работает строго в рамках домена платформы, а любые требования перейти на сторонние сайты вроде Google Sites для «исправления ошибки» являются мошенничеством.
- Никогда не копируйте и не вставляйте предложенный сторонними сайтами код в командную строку или системное окно выполнения программ.
Последствия заражения и вредоносная полезная нагрузка
После успешного выполнения команд на компьютер устанавливается троян удаленного доступа (RAT). Этот инструмент предоставляет злоумышленникам полный контроль над зараженной системой. Вредоносное ПО способно выполнять следующие действия:
- Перехват содержимого экрана и организация удаленного рабочего стола.
- Скрытая активация веб-камеры, микрофона и системных аудиоустройств для прослушивания и записи.
- Глубокий поиск по всем файлам и документам на локальных дисках для сбора конфиденциальных данных.
- Сканирование сетевого окружения и сбор сведений об установленной защите.
- Загрузка и запуск дополнительных вредоносных компонентов без ведома владельца.
Для закрепления в системе вредители прописывают ключи автозапуска в реестре Windows и создают специальную запланированную задачу.
Проверка системы на наличие следов вторжения
Если вы подозреваете, что могли стать жертвой подобной атаки, выполните проверку системы с помощью специализированных средств поиска угроз.
Для поиска следов в реестре и планировщике задач можно использовать стандартные команды PowerShell.
Get-ScheduledTask | Where-Object {$_.TaskName -like "*Canon*"}
Также стоит проверить наличие подозрительных записей автозапуска в ветках реестра, отвечающих за запуск приложений при старте системы. Обратите внимание на ключи Run в системном реестре:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run"
Get-ItemProperty -Path "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run"
Если не получилось
- Подозрительная задача или файл не удаляются: Вредоносное ПО использует зашифрованную файловую структуру и защитные механизмы восстановления. Перезагрузите компьютер в безопасном режиме (Safe Mode) и повторите попытку удаления подозрительных компонентов через командную строку от имени администратора.
- Антивирус не находит угрозу: Поскольку злоумышленники часто используют легитимные подписанные приложения в связке с модифицированными DLL-библиотеками, классические антивирусные базы могут не сразу распознать угрозу. Обновите базы защитного ПО до актуальной версии или воспользуйтесь сканерами поведения.
- Повторное появление задачи после удаления: Это указывает на активный процесс, который восстанавливает параметры автозапуска в памяти. Перед удалением задачи завершите все подозрительные процессы через Диспетчер задач.
