Angreifer nutzen echte Seiten mit geteilten ChatGPT-Inhalten, damit gefälschte OpenAI-App-Downloads vertrauenswürdiger wirken.
Die LLMShare-Kampagne, die Push Security am 29. Mai publik machte, zeigt, wie Malvertising legitime URLs von KI-Plattformen ausnutzen kann, bevor Nutzer auf von Angreifern kontrollierte Download-Seiten umgeleitet werden. Für Sicherheitsteams in Unternehmen besteht das Risiko nicht darin, dass OpenAI gehackt wurde, sondern darin, dass vertrauenswürdige Domains nun überzeugende Social-Engineering-Köder hosten können, die einfache Prüfungen des Domain-Rufs umgehen.
Wie Angreifer echte ChatGPT-URLs nutzten
In der öffentlichen Dokumentation von OpenAI heißt es, dass geteilte ChatGPT-Links ausgewählte Unterhaltungen für jeden mit der URL sichtbar machen können . Angreifer nutzten eine separate Seite mit geteilten Inhalten unter chatgpt.com/s/, um benutzerdefiniertes HTML und CSS als gefälschten Hinweis eines ChatGPT-Dienstes darzustellen.
Die Seite zeigte eine gefälschte Meldung über einen Ausfall wegen hoher Zugriffszahlen und forderte Besucher zum Download einer Desktop-App auf. Laut Push Security zeigten die Steuerelemente „Show code“ und „Remix with ChatGPT“, dass die Meldung keine offizielle Service-Warnung von OpenAI war.
Angreifer nutzten bezahlte Suchanzeigen, um Nutzer zunächst auf die echte Seite unter chatgpt.com/s/ zu leiten und anschließend auf openew[.]app umzuleiten, eine von Angreifern kontrollierte Website, die die Download-Seite der OpenAI-Desktop-App nachahmte.
BleepingComputer berichtete , dass die gefälschte Download-Seite Cloaking einsetzte: Echten Browser-Besuchern wurde die gefälschte ChatGPT-Download-Seite angezeigt, während Tools wie URLScan eine harmlos wirkende AR/VR-Unternehmenswebsite erhielten. Die Seite bot Downloads für macOS und Windows an, wobei die Publikation in ihrer Analyse anmerkte, dass die endgültigen Schadsoftware-Payloads unklar blieben.
ThreatLocker verwies unabhängig davon auf Untersuchungen von Malwarebytes , in denen eine gleichzeitig laufende Kampagne mit gefälschten ChatGPT-Downloads identifiziert wurde, die Odyssey Stealer unter macOS einsetzte. Die genauen Payload-Details sollten jedoch an konkrete Samples oder Erkenntnisse von Forschern gebunden werden.
Warum vertrauenswürdige KI-Seiten ein Unternehmensrisiko darstellen
Die Kampagne nutzt eine verbreitete Sicherheitsabkürzung aus: Eine vertrauenswürdige Domain wird als Stellvertreter für vertrauenswürdige Inhalte behandelt. In diesem Fall befand sich die Seite der ersten Phase auf einer legitimen OpenAI-Domain, während der Download-Schritt Nutzer auf eine von Angreifern kontrollierte Infrastruktur führte.
Es gibt keine Hinweise darauf, dass OpenAI gehackt wurde. Das Risiko besteht darin, dass Angreifer Social-Engineering-Inhalte auf Domains platzieren können, denen Nutzer und Sicherheitstools von vornherein vertrauen – ein Muster, das auch bei ChatGPhish, einer separaten Phishing-Technik für ChatGPT,.
zu beobachten ist. Derselbe Ansatz ist nicht auf ChatGPT beschränkt. Push Security beobachtete auch geteilte Claude.ai-Unterhaltungen mit gefälschten Installationsanleitungen, in denen Nutzer aufgefordert wurden, Terminalbefehle einzufügen, während aktuelle Untersuchungen zu Prompt-Injection bei Gemini einen weiteren Weg aufzeigten, wie KI-Tools nicht vertrauenswürdige Anweisungen anzeigen können.
Für Sicherheitsteams liegt das praktische Problem bei der Übergabe vom Browser zum Download. Schutzmaßnahmen sollten Weiterleitungen, Download-Aufforderungen, nicht signierte ausführbare Dateien, neu auftretende Zieladressen und Anweisungen zum Kopieren von Befehlen prüfen – insbesondere, da automatisierter und bösartiger Datenverkehr zunehmend normales Browserverhalten nachahmt. ThreatLocker empfiehlt Application Allowlisting, Web-Content-Kontrolle und Privileged Access Management.
Mitarbeiter sollten Software-Download-Aufforderungen auf geteilten KI-Seiten oder in Ausfallmeldungen, die sie über Suchanzeigen erreicht haben, als verdächtig betrachten. Der sicherere Weg führt über die offizielle Download-Seite des Anbieters oder ein freigegebenes Softwareportal des Unternehmens.
Lesen Sie auch: Forscher entwickelten einen KI-gestützten Wurm, der seinen Angriffsweg anpasst, und zeigten damit, wie KI Malware schwerer vorhersehbar machen könnte