فهرست مطالب
اپلیکیشن‌های جعلی ChatGPT و Claude در گیت‌هاب با نصب‌کننده‌های معتبر، بدافزار منتشر می‌کنند و کامپیوترهای ویندوزی را در معرض خطر قرار می‌دهند.
به گزارش سرویس امنیت سایبری تکناک،جست‌وجوی اپلیکیشن دسکتاپ ChatGPT یا Claude در گوگل ممکن است کاربران را به صفحات دانلود جعلی هدایت کند. پژوهشگران Check Point Research از کارزاری با نام Yoba خبر داده‌اند که حدود دو ماه است آن را تحت نظر دارند.
مهاجمان مخازنی در گیت‌هاب و صفحات دانلود ساده‌ای ایجاد کرده‌اند که ظاهری شبیه اپلیکیشن‌های رسمی دارند. نام‌هایی مانند GPT-5.6 Sol، GPT-6 Astra و Claude Opus نیز در این صفحات دیده می‌شوند.
به گفته Check Point، این صفحات احتمالاً با استفاده از دست‌کاری نتایج موتورهای جست‌وجو یا مسموم‌سازی سئو، به رتبه‌های بالای نتایج گوگل راه یافته‌اند. مهاجمان حتی نیازی به جعل امتیازها و ستاره‌های کاربران نداشته‌اند.
چرا امضای دیجیتال نصب‌کننده کافی نیست؟
فایل دانلودشده در قالب ZIP ارائه می‌شود. درون این آرشیو، فایل واقعی Setup.exe متعلق به OpenAI یا Anthropic قرار دارد که با امضای دیجیتال معتبر عرضه شده و ویندوز آن را قابل اعتماد تشخیص می‌دهد. بااین‌حال، آرشیو حاوی یک کتابخانه مخرب به نام winmm.dll نیز هست.
هنگامی که کاربر فایل امضاشده را اجرا می‌کند، این فایل، کتابخانه DLL را از همان پوشه بارگذاری می‌کند. این روش که «بارگذاری جانبی DLL» یا (DLL sideloading) نام دارد، به مهاجمان اجازه می‌دهد کد مخرب خود را از طریق یک برنامه معتبر اجرا کنند. امضای دیجیتال فقط فایل نصب‌کننده را پوشش می‌دهد و اعتبار فایل مخرب جانبی را تضمین نمی‌کند.
بدافزار سپس از کاربر درخواست دسترسی مدیر سیستم را می‌کند. طبق تحلیل شرکت Gridinsoft، این بدافزار خود را در مسیر ProgramData\WMProcess نصب می‌کند و یک وظیفه زمان‌بندی‌شده می‌سازد. این وظیفه با ظاهری شبیه Windows Media Player، بدافزار را پس از هر بار راه‌اندازی مجدد سیستم با سطح دسترسی سیستمی اجرا می‌کند.
بیشتر بخوانید: حملات سایبری اطلاعات مشتریان دو سازنده کیف پول سخت‌افزاری رمزارز را افشا کرد
بدافزار دستورهای خود را از طریق یک کانال تلگرام دریافت و از درخواست‌های رمزگذاری‌شده DNS از طریق گوگل برای برقراری ارتباط استفاده می‌کند. به‌همین‌دلیل، برای فعالیت خود به سرور اختصاصی نیاز ندارد.
محموله نهایی که Check Point شناسایی کرده، استخراج‌کننده رمزارز XMRig بوده است. این بدافزار از شبکه Tor برای استخراج استفاده می‌کرد و هنگام فعالیت کاربر، اجرای عملیات استخراج را متوقف می‌کرد. بااین‌حال، ابزار بارگذاری آن قابلیت اجرای بدافزارهای دیگری مانند سرقت‌کنندگان رمز عبور یا تروجان‌های دسترسی از راه دور را نیز دارد.
این بدافزار سیستم‌هایی را که از چیدمان صفحه‌کلید روسی یا سایر چیدمان‌های کشورهای مستقل مشترک‌المنافع (CIS) استفاده می‌کنند، هدف قرار نمی‌دهد. اوکراین از این محدودیت مستثنا است.
بیشتر بخوانید: افزونه جعلی کروم دو مک را آلوده کرد و باعث سرقت ۲۳۰ هزار دلار رمزارز شد
Yoba نخستین کارزار از این نوع نیست
پیش‌تر نیز گزارش‌هایی درباره صفحات دانلود جعلی منتشر شده است. در روز سه‌شنبه، گزارشی درباره صفحات جعلی دانلود Claude در دامنه claude.ai منتشر شد که برای سرقت رمزهای عبور طراحی شده بودند. اوایل همین ماه نیز یک مدل جعلی با نام ChatGPT «Plus 5.6» برای انتشار تروجان استفاده شده بود.
نشریه Infosecurity Magazine هم گزارش داده است که نسخه‌ای قدیمی‌تر از بدافزار Yoba در ماه ژوئن خود را به‌جای ابزار برنامه‌نویسی Cursor جا زده بود. این نمونه‌ها نشان می‌دهند که مهاجمان از نام محصولاتی استفاده می‌کنند که کاربران در جست‌وجوی آنها هستند.
بیشتر بخوانید: افشای کلیدهای خصوصی شرکت eMudhra؛ زنگ خطر برای امنیت اینترنت
چگونه از نصب بدافزار جلوگیری کنیم؟
کاربران باید اپلیکیشن‌های هوش مصنوعی را فقط از صفحات دانلود رسمی توسعه‌دهندگان دریافت کنند. اپلیکیشن Claude از طریق نشانی claude.com/download در دسترس است. نسخه ویندوز ChatGPT نیز از سوی OpenAI و فروشگاه Microsoft Store عرضه می‌شود.
وجود نام یک مدل هوش مصنوعی در عنوان مخزن گیت‌هاب، حتی اگر آن مخزن در رتبه بالایی از نتایج جست‌وجو قرار داشته باشد، به معنای رسمی بودن آن نیست.
اگر کاربری چنین آرشیوی را دانلود کرده، اما هنوز آن را باز نکرده است، باید فایل را بدون اجرا حذف کند. اگر نصب‌کننده را اجرا کرده باشد، باید کامپیوتر را از شبکه جدا کند، پوشه WMProcess را در مسیر ProgramData بررسی کند و یک اسکن کامل بدافزار انجام دهد.
منبع همچنین به راهنمایی درباره سازوکار حملات ClickFix و ترفندهای مشابه اشاره می‌کند که مهاجمان از آنها برای فریب کاربران استفاده می‌کنند.
