Contexte de l'attaque

En septembre 2026, Huntress a identifié une campagne où des acteurs malveillants utilisent la fonction Custom GPT de ChatGPT. Les victimes accèdent à un GPT nommé « Plus 5.6 », qui les oriente vers un lien Google Sites. Ce lien apparaît dans les résultats sponsorisés de recherches Google pour le terme « chatgpt », ce qui augmente la crédibilité du vecteur d’infection.

chatgpt.com/g/g-6ab595ad6554819181b686d4876efb80-plus-5-6
chatgpt.com/g/g-6ab6ba039440819185ed491740b11cf8-plus-5-6

Mécanisme d'infection

Le site Google Sites affiche une fausse vérification Cloudflare CAPTCHA, puis déclenche une attaque de type ClickFix. L’utilisateur est incité à copier‑coller une commande PowerShell qui télécharge et exécute un installateur MSI nommé ISOSimple.msi. L’installateur lance une chaîne de DLL sideloading en exploitant le binaire signé par Canon COTFileReadApp.exe. Le premier DLL injecté, ceiinfolog.dll, est une version modifiée du DLL légitime de Canon.

Ce DLL charge à son tour un second DLL non signé, rdCore.dll, qui extrait un chargeur chiffré depuis un fichier audio Common.Integrator.Preview.wav. L’utilisation d’un fichier WAV comme conteneur rappelle les campagnes Octowave Loader, où des chargeurs sont dissimulés dans des formats multimédia.

Analyse du chargeur et des techniques d’évasion

Le chargeur déchiffre un shellcode stocké dans le système de fichiers chiffré monitor.raw. Avant de lancer le code, il contourne AMSI et désinstalle les hooks de ntdll.dll, limitant ainsi la visibilité des solutions de détection basées sur le monitoring utilisateur. Le chargeur exécute également des contrôles anti‑machine virtuelle en interrogeant les chaînes du vendeur CPU et en recherchant les pilotes ou services associés à VMware, VirtualBox, Hyper‑V, QEMU, Xen et Parallels.

Pour la communication C2, le RAT utilise le protocole DNS‑over‑HTTPS via les résolveurs Cloudflare, Google et Quad9. Les requêtes DNS sont encapsulées dans du trafic HTTPS légitime, ce qui empêche leur visibilité dans les journaux DNS locaux.

Capacités du RAT et implications

Le cheval de Troie installé possède plusieurs modules : collecte d’informations système, état de Microsoft Defender, capture vidéo et audio, diffusion d’écran, lancement de sessions Remote Desktop, et navigation automatisée dans 17 navigateurs différents. Il peut déposer et exécuter des fichiers supplémentaires (EXE, DLL, MSI) ainsi que des scripts PowerShell, batch, VBScript ou JavaScript. Un binaire signé GOMCam2024.exe est également déposé pour lancer Chrome avec un profil jetable dans le répertoire %TEMP%.

Au moins 40 machines ont été compromises, démontrant que la confiance accordée aux plateformes d’IA peut être détournée pour des campagnes de phishing avancées. La combinaison d’un vecteur d’ingénierie sociale (Custom GPT) et d’une chaîne d’infection multi‑étapes rend la détection difficile, surtout lorsque les communications C2 sont masquées par DoH. Les organisations doivent surveiller les interactions avec les Custom GPTs, restreindre l’exécution de scripts PowerShell provenant de sources non vérifiées et appliquer une analyse comportementale des processus liés aux binaires signés récemment introduits.