Questo post é stato letto 60 volte!
Falsi installer ChatGPT e Claude sono al centro di una nuova campagna informatica che sta sfruttando versioni contraffatte delle applicazioni desktop di questi assistenti virtuali per distribuire software malevolo sui computer degli utenti. Questa strategia si basa sulla creazione di pagine web che appaiono autentiche, posizionate strategicamente nei motori di ricerca, e sull'inclusione di file legittimi all'interno del pacchetto dannoso.
La minaccia dei falsi installer ChatGPT e Claude
I ricercatori di sicurezza informatica hanno ricostruito l'episodio, evidenziando l'importanza di verificare la provenienza dei programmi prima di avviarli, specialmente quando il download proviene da pagine che sembrano ufficiali. Check Point Research ha identificato la campagna partendo da una pagina GitHub fraudolenta che compariva tra i risultati di Google. Il sito offriva un archivio compresso contenente l'installer originale di OpenAI o Anthropic, insieme a una libreria aggiuntiva denominata winmm.dll. La presenza del componente originale può ingannare gli utenti, facendoli considerare affidabile l'intero pacchetto.
Come funziona il raggiro
Il raggiro sfrutta una tecnica nota come DLL sideloading. Windows è in grado di caricare librerie presenti nella cartella di un'applicazione, e gli aggressori approfittano di questo comportamento per eseguire codice malevolo attraverso un programma apparentemente innocuo. L'analisi di Gridinsoft ha rivelato che il malware richiede privilegi di amministratore e tenta di installarsi in una directory di sistema in modo discreto.
Una volta attivo, il malware cerca istruzioni tramite informazioni associate all'immagine del profilo di un canale Telegram e richieste ai record DNS di Google, camuffando le sue comunicazioni tra i servizi online più comuni. Il payload identificato è un cryptominer, che sfrutta le risorse del computer per generare criptovalute, rallentando significativamente il sistema.
Proteggere il computer dai falsi installer
L'analisi del codice ha anche rivelato una selezione geografica: il programma escludeva i sistemi con layout di tastiera russi e di paesi vicini, ma includeva quelli ucraini tra i bersagli regionali, suggerendo una distribuzione non indiscriminata. Yash Kadakia, responsabile tecnologico di Security Brigade, ha sottolineato che una firma digitale valida non garantisce da sola la sicurezza di un programma. Il loader può anche eseguire istruzioni da remoto, il che significa che, sebbene sia stato individuato un miner, il meccanismo potrebbe veicolare altre minacce, come strumenti per il furto di password.
Chiunque sospetti di aver avviato un installer compromesso dovrebbe scollegare il dispositivo dalla rete, cercare file sconosciuti nelle directory di sistema ed effettuare controlli di sicurezza. Per i download futuri, è consigliabile accedere direttamente ai siti ufficiali degli sviluppatori o agli store riconosciuti, senza considerare la posizione di una pagina nei risultati di ricerca come prova di autenticità.
Leggi anche
Questo post é stato letto 60 volte!