安全厂商 Huntress 披露一起滥用 ChatGPT 平台功能的恶意软件投递活动：攻击者创建名为「Plus 5.6」的自定义 GPT（Custom GPT），借助 Google 赞助搜索结果把用户引导至该 GPT 页面，再通过伪造的验证页触发 ClickFix 攻击，最终在受害者主机上安装功能完整的远程访问木马（RAT）。目前已确认至少 40 名用户被感染，首个恶意 GPT 被下架后，攻击者迅速上线了第二个变体。
事件概述
Custom GPT 是 ChatGPT 上允许用户自定义指令与技能、无需编码即可发布的个性化助手，其页面托管在官方 chatgpt.com 域名下并显示自定义名称，这正是它作为诱饵的信任来源。攻击者将其命名为「Plus 5.6」，让不知情的访问者误以为是新版本的 ChatGPT 模型。用户搜索「chatgpt」时点击赞助广告进入该页面后，得到的唯一回复是一则「服务可用性通知」，声称主域名可用性受限，建议改用「备用域名」。该备用域名指向一个 Google Sites 页面，呈现仿冒的 Cloudflare CAPTCHA 校验，并要求用户把一段命令复制粘贴到终端中执行。
技术细节
这条攻击链共八段，每一段的目的都是隐藏下一段。第一段由 ClickFix 命令下载并运行 PowerShell 脚本，写入 %TEMP% 目录下以随机数字命名的 .ps1 文件；该脚本是长达两万七千余字符的单行代码，主体是包含 3036 个负整数的数组，每个值加上固定偏移 1520498 后还原为真实字符，再通过 [scriptblock]::Create 在内存中执行，落盘不留痕迹。为绕过基于点分 IP 的过滤规则，脚本把服务器主机写作十进制整数 1614733393，Windows 会将其解析为 96.62.224.81。
随后下载执行的 MSI 安装包滥用 Canon 合法签名的程序 COTFileReadApp.exe 进行 DLL 侧加载，装载被篡改的 ceiinfolog.dll；该 DLL 再加载未签名的 rdCore.dll，从名为 Common.Integrator.Preview.wav 的音频文件中提取加密加载器，最终从加密文件系统 monitor.raw 中解出木马与持久化脚本。持久化通过一个名为「Canon Configuration Reader」的注册表 Run 键与计划任务完成。整套流程包含绕过 AMSI、解除 ntdll.dll 的用户态挂钩，以及比对 CPU 厂商字符串的反虚拟机检查。
影响评估
该木马功能齐备：可执行远程桌面与屏幕广播、采集摄像头、麦克风与系统音频、识别 17 种浏览器并窃取凭据、全盘搜索文件内容，并投放二次载荷。其 C2 通过 Cloudflare、Google 与 Quad9 的 DNS-over-HTTPS 解析，查询流量混在普通 HTTPS 中，不出现在本地 DNS 日志里。攻击链条叠加 ChatGPT、Google、Cloudflare 与 Canon 四层品牌信任，传统基于域名的拦截手段难以奏效。
修复建议
人员侧：把「验证页面要求把命令粘贴进终端、PowerShell 或运行对话框」列为绝对停止信号；对赞助搜索结果保持怀疑。
技术侧：限制标准用户使用运行对话框，收紧 PowerShell 执行策略；检测 ClickFix 特征，包括十进制形式的 IP、%TEMP% 下随机命名脚本、「Canon Configuration Reader」持久化项；对 AI 平台生成的外链做统一管控与信誉校验。