كشفت شركة الأمن السيبراني Huntress عن حملة هجومية جديدة يستغل فيها مجرمو الإنترنت ميزة GPTs المخصصة داخل منصة ChatGPT لخداع المستخدمين ودفعهم إلى زيارة مواقع خبيثة تنتهي بتنزيل برمجيات وصول عن بُعد (RAT)، في تطور جديد يعكس تصاعد محاولات استغلال منصات الذكاء الاصطناعي الموثوقة كأدوات للهندسة الاجتماعية وتنفيذ الهجمات الإلكترونية.
وتسلط الحملة الضوء على اتجاه متنامٍ بين الجماعات الإجرامية يتمثل في توظيف الخدمات الرقمية المشروعة ذات السمعة العالية لإضفاء المصداقية على عمليات الاحتيال، مستفيدة من الثقة الواسعة التي تحظى بها تطبيقات الذكاء الاصطناعي لدى المستخدمين والشركات على حد سواء.
GPTs المخصصة تتحول من أدوات إنتاجية إلى بوابة للاختراق
تمثل GPTs المخصصة نسخًا قابلة للتخصيص من ChatGPT تسمح للمستخدمين ببناء مساعدين متخصصين عبر إضافة تعليمات مخصصة وملفات مرجعية ومهارات معينة دون الحاجة إلى كتابة أي شيفرات برمجية. وتُستضاف هذه النماذج مباشرة على منصة ChatGPT الرسمية، ما يمنحها قدرًا كبيرًا من الموثوقية في أعين المستخدمين.
ووفقًا للتحقيقات، قام المهاجمون بإنشاء نماذج GPT مزيفة حملت اسم “Plus 5.6″، وجرى الترويج لها عبر نتائج بحث مدفوعة على محرك Google عند البحث عن كلمات مثل “ChatGPT”. وعند تفاعل المستخدم مع هذه النماذج، يتلقى رسالة تبدو رسمية تفيد بوجود قيود مؤقتة على الخدمة الأساسية، مع اقتراح استخدام نطاق احتياطي للوصول الفوري إلى الخدمة.
ويعتمد هذا الأسلوب على استغلال العامل النفسي للمستخدم، إذ يشعر بأنه يتعامل مع خدمة شرعية وموثوقة، فيوافق طواعية على الانتقال إلى الموقع البديل دون إدراك أنه يقع في فخ مُحكم الإعداد.
هجوم ClickFix يقود الضحايا إلى تثبيت البرمجيات الخبيثة بأنفسهم
بعد انتقال الضحية إلى الموقع البديل المستضاف عبر Google Sites، تظهر صفحة تحقق مزيفة تحاكي اختبارات Cloudflare الأمنية المعروفة. وهنا تبدأ مرحلة هجوم ClickFix، وهي تقنية تعتمد على إقناع المستخدم بنسخ وتشغيل أوامر ضارة على جهازه تحت ذريعة اجتياز التحقق الأمني أو إصلاح مشكلة تقنية.
وعند تنفيذ الأوامر، يتم تنزيل ملف تثبيت خبيث بصيغة MSI يحمل اسم ISOSimple.msi، ليبدأ بعدها تسلسل معقد من العمليات التقنية المصممة للإفلات من أدوات الحماية التقليدية.
وكشفت Huntress أن الحملة أصابت ما لا يقل عن 40 مستخدمًا، ما يؤكد نجاح المهاجمين في استغلال الثقة المتزايدة في أدوات الذكاء الاصطناعي لتحقيق أهدافهم الإجرامية.
سلسلة تحميل متعددة المراحل لإخفاء البرمجية الخبيثة
تعتمد الحملة على تقنية متقدمة تُعرف باسم DLL Sideloading، حيث يتم استغلال ملف شرعي موقع رقميًا تابع لشركة Canon يحمل اسم COTFileReadApp.exe لتحميل مكتبات ديناميكية مزيفة دون إثارة الشكوك.
ويبدأ الملف الشرعي بتحميل مكتبة معدلة تحمل اسم ceiinfolog.dll، والتي تتولى بدورها تشغيل مكتبة أخرى غير موقعة تسمى rdCore.dll. ثم تعمل هذه الأخيرة على استخراج برنامج تحميل مشفر مخفي داخل ملف صوتي بصيغة WAV يحمل اسم Common.Integrator.Preview.wav.
ويمثل إخفاء البرمجيات الخبيثة داخل ملفات الوسائط المتعددة أحد الأساليب المتقدمة التي تساعد المهاجمين على تجاوز أنظمة الفحص التقليدية، حيث تبدو الملفات الصوتية أو المرئية لأول وهلة طبيعية وغير ضارة.
وتشير هذه التقنية إلى تطور ملحوظ في استراتيجيات التمويه والإخفاء، خاصة أن حملات مماثلة استُخدمت سابقًا لنشر أدوات تحميل خبيثة متطورة مثل Octowave Loader.
قدرات تجسسية واسعة تسمح بالسيطرة الكاملة على الأجهزة
في المرحلة النهائية، يقوم محمل البرمجية بفك تشفير ملف مخفي يحتوي على حصان طروادة متكامل وسكربتات تضمن استمرارية تشغيله داخل النظام.
وقبل تنفيذ الحمولة الأساسية، تنفذ البرمجية عدة عمليات متقدمة لتجاوز الحماية الأمنية، منها تعطيل آلية AMSI الخاصة بفحص السكربتات داخل بيئات Microsoft، وإلغاء بعض وظائف مكتبة ntdll.dll المستخدمة في المراقبة الأمنية، إضافة إلى تنفيذ اختبارات للكشف عن البيئات الافتراضية المستخدمة من قبل الباحثين الأمنيين.
وبمجرد تفعيل البرمجية، تحصل على قدرات واسعة للغاية تشمل جمع معلومات تفصيلية عن النظام وبرامج مكافحة الفيروسات المثبتة وحالة Microsoft Defender، وتشغيل جلسات سطح مكتب عن بعد، وبث شاشة الضحية بصورة مباشرة، والتقاط الفيديو من الكاميرا، وتسجيل الصوت من الميكروفون والنظام.
كما تستطيع التعرف على 17 متصفح ويب مختلفًا، والبحث داخل محتويات الملفات المخزنة على الجهاز، وتنزيل وتشغيل ملفات إضافية بصيغ متعددة تشمل EXE وDLL وMSI، إضافة إلى تشغيل سكربتات PowerShell وVBScript وJavaScript وغيرها.
بنية اتصالات خفية وصعوبة في تعقب خوادم القيادة والسيطرة
أحد الجوانب اللافتة في هذه الحملة يتمثل في اعتماد البرمجية على تقنية DNS-over-HTTPS للاتصال بخوادم القيادة والسيطرة. ويؤدي هذا الأسلوب إلى تمرير طلبات البحث ضمن حركة HTTPS مشفرة عبر خدمات معروفة مثل Cloudflare وGoogle وQuad9.
ويجعل ذلك عملية اكتشاف الاتصالات المشبوهة أكثر صعوبة بالنسبة لفرق الأمن السيبراني، لأن الحركة تبدو جزءًا من الاتصالات الطبيعية الموجهة إلى مزودي خدمات موثوقين.
كما رجّحت Huntress أن تكون بيانات الخادم المخفي مشفرة بعمق داخل الشيفرة البرمجية أو تُسترجع ديناميكيًا أثناء التشغيل، ما يزيد من تعقيد عمليات التحليل الجنائي الرقمي وتتبع البنية التحتية للمهاجمين.
موجة متصاعدة من حملات ClickFix المرتبطة بالذكاء الاصطناعي
تأتي هذه الحملة ضمن سلسلة أوسع من الهجمات التي تستغل أسماء أدوات الذكاء الاصطناعي الشهيرة مثل OpenAI Codex وClaude. وفي العديد من الحالات، استخدم المهاجمون مواقع مستضافة على Google Sites وصفحات تحقق مزيفة لنشر برمجيات سرقة البيانات وسرقة محافظ العملات المشفرة.
كما رُصدت حملات أخرى اعتمدت على تقنية EtherHiding لإخفاء خوادم القيادة والسيطرة داخل شبكات البلوك تشين، بينما استهدفت بعض الهجمات جهات حكومية ومؤسسات حساسة باستخدام مواقع أعمال مخترقة وصفحات Cloudflare مزيفة مصممة خصيصًا لخداع المستخدمين.
وتؤكد هذه التطورات أن المهاجمين لم يعودوا بحاجة إلى استغلال ثغرات تقنية معقدة بقدر اعتمادهم على استغلال الثقة الرقمية. فكلما ازداد اعتماد المستخدمين على منصات الذكاء الاصطناعي والخدمات السحابية، اتسعت أمام المجرمين الإلكترونيين فرص بناء سيناريوهات احتيالية أكثر إقناعًا وتعقيدًا، ما يجعل الوعي الأمني والتدقيق في الرسائل والروابط والعروض الرقمية عنصرًا محوريًا في مواجهة الجيل الجديد من الهجمات السيبرانية.
