Sitios falsos que prometen herramientas legítimas basadas en ChatGPT están distribuyendo extensiones maliciosas que buscan robar cookies y acceder a cuentas en los equipos de las víctimas.
Sitios falsos que prometen herramientas legítimas basadas en ChatGPT están distribuyendo extensiones maliciosas que buscan robar cookies y acceder a cuentas en los equipos de las víctimas.
De acuerdo con los datos que observamos en los sistemas de ESET, los cibercriminales están creando sitios falsos utilizando el nombre de ChatGPT como señuelo para infectar con malware.
Si bien muchas de estas páginas suelen estar activas durante un corto período, descubrimos una que nos llamó la atención: Un sitio que incluye el nombre de ChatGPT en su URL ofrece una herramienta para marketing y publicidad basada en el código de este popular chatbot.
El objetivo es que la víctima descargue una aplicación maliciosa que se instala como una extensión para Google Chrome y permite al atacante acceder a las cookies del navegador, posibilitando realizar distintos tipos de acciones.
Las cookies son pequeños archivos que contienen información que permiten autenticar y mantener una sesión abierta en un dispositivo. Esto significa que gracias a las cookies la persona evita tener que colocar manualmente sus credenciales cada vez que quiere acceder a su cuenta. Si un atacante tiene acceso a las cookies de Facebook en un equipo, pueden utilizarlas para realizar acciones en nombre del usuario sin su consentimiento y obtener acceso no autorizado.
La persona que descarga e instala esta falsa herramienta del sitio, que ya fue dado de baja, sin darse cuenta instalará código malicioso que corre como una extensión para el navegador.
Al hacer clic en el botón de descarga (“Download”) y colocar la contraseña (“888”) se descarga un archivo con el nombre “GPT4_V2_1.7_Setup.rar”. Sin embargo, se trata de un archivo con extensión .msi, es decir, un archivo para la instalación de software en Windows que también puede ser utilizado para eliminar, modificar e incluso actualizar un software.
Si la víctima ejecuta el archivo se abrirá la siguiente ventana de instalación:
Una vez finalizado este proceso se abre una ventana en el navegador Google Chrome que lleva al sitio oficial de ChatGPT, pero lo que la víctima no habrá notado es que en el equipo se instaló una extensión maliciosa que se mantiene oculta, ya que no hay una interfaz diseñada para esta extensión.
Al analizar el archivo de instalación MSI, protegido con contraseña, detectamos que contenía otros dos archivos que nos llamaron la atención: un archivo .bat y un archivo ejecutable .exe.
Al analizar el archivo GPT4 V2.exe observamos que se trata de un archivo desarrollado en C# que se encarga de que el malware persista en el equipo y de crear una carpeta que lleva el nombre dmkamcknogkgcdfhhbddcghachkejeap.
Por su parte, el archivo gpt4.bat dentro del MSI se ejecuta cuando finaliza el proceso de instalación de la supuesta herramienta y contiene una serie de comandos. Uno de estos comandos es el que se encarga de abrir una nueva ventana de Google Chrome y cargar el sitio oficial de ChatGPT (“https://chat.openai.com/»), mientras que otro de comando cargar una extensión para el navegador almacenada en la carpeta mencionada anteriormente: dmkamcknogkgcdfhhbddcghachkejeap.
Dentro de la carpeta observamos los siguientes archivos. El primero de ellos es un archivo JavaScript llamado background.js:
Al analizar este archivo observamos que se trata de una extensión que busca acceder a todas las cookies de Facebook desde Google Chrome. En particular recopila información relacionada con las cookies almacenadas en el navegador de la víctima y las envía al atacante.
A continuación, compartimos algunas acciones que puede realizar un atacante mediante el robo de cookies de Facebook:
Recolectar información para comercializar: A través del robo de cookies también pueden recolectar información que luego puede ser comercializada en foros clandestinos para realizar anuncios u otros fines de marketing.
Si bien las medidas de seguridad implementadas por Facebook, como el cifrado de datos y los mecanismos de autenticación, están diseñados para proteger las cuentas de las personas, si las cookies se ven comprometidas estas medidas de seguridad pueden ser eludidas.
Por último, si sospechas que las cookies de Facebook han sido robadas, recomendamos tomar las siguientes medidas:
© 2022 - Todos los derechos reservados.