Google-Sites

บริษัท Huntress เปิดเผยแคมเปญ ClickFix ที่ใช้ Custom GPTs ของ ChatGPT ปลอมเป็นผลิตภัณฑ์ยอดนิยมเพื่อลวงเหยื่อรันโค้ดอันตราย โดย Custom GPT จะตอบด้วยลิงก์ Google Sites ที่นำไปยังหน้า ClickFix สั่งให้รัน PowerShell ดาวน์โหลดไฟล์ MSI มีผู้ติดมัลแวร์แล้วอย่างน้อย 40 ราย OpenAI ลบ Custom GPT ตัวแรกเมื่อ 25 กันยายน แต่พบตัวที่สองในวันที่ 27 กันยายน สุดท้ายเหยื่อถูกติดตั้ง RAT ที่ดึงและรัน payload ได้หลายชนิด

บริษัท ANY.RUN เปิดเผยแคมเปญ ClickFix ที่ใช้หน้าปลอมเลียนแบบ Claude Code และ OpenAI Codex โฮสต์บน Google Sites ที่น่าเชื่อถือ หลอกให้ผู้ใช้รันคำสั่ง mshta เพื่อ ‘ติดตั้ง’ จากนั้น PowerShell หลายขั้นจะทำงานในหน่วยความจำ ดึง payload ที่ซ่อนในรูปด้วย steganography แล้วรัน shellcode โดยไม่แตะดิสก์ ขโมยรหัสผ่านเบราว์เซอร์ อีเมล และข้อมูล wallet คริปโต เป้าหมายหลักคือนักพัฒนาที่คุ้นเคยกับการติดตั้งผ่าน command line จึงทำตามคำสั่งโดยไม่ลังเล