دام خطرناک هکرها با تبلیغات فیک ChatGPT؛ بدافزاری که با سرچ گوگل روی سیستمتان می‌نشیند!

بر اساس گزارش کارشناسان امنیتی در شرکت هوش مصنوعی Island، تبلیغات اسپانسرشده گوگل برای نسخه‌های جعلی ChatGPT، کاربران ویندوز را به سمت تله‌هایی خطرناک موسوم به «ClickFix» می‌کشانند؛ دامی هوشمندانه که نتیجه‌اش دانلود و اجرای ناخواسته بدافزار روی سیستم است.

ماجرا از این قرار است که وقتی کاربران عباراتی مثل «chatgpt» را در موتور جستجوی گوگل سرچ می‌کنند، این تبلیغات اسپانسرشده بالا می‌آیند. نکته عجیب اینجاست که این لینک‌ها کاربران را به بات‌های سفارشی (Custom GPT) هدایت می‌کنند؛ صفحاتی که کاملاً شبیه به رابط کاربری اصلی چت‌جی‌پی‌تی طراحی شده‌اند تا هیچ شکی ایجاد نکنند.

قسمت فریبنده قضیه اینجاست که قربانیان واقعاً وارد دامنه رسمی و معتبر chatgpt.com می‌شوند! اما ماجرا به همین‌جا ختم نمی‌شود؛ به محض اینکه کاربر پیامی (پرامپتی) تایپ می‌کند، این سرویس ساختگی پیغامی نشان می‌دهد که ظاهراً به دلیل «ترافیک بالا»، باید به یک «دامنه پشتیبان» منتقل شوید.

با کلیک روی لینک مذکور، کاربر بی‌خبر به یک نسخه جعلی دیگر از ChatGPT هدایت می‌شود که یک صفحه اعتبارسنجی فیک شبیه کلودفلر (Cloudflare) را پیش رویش می‌گذارد؛ صفحه‌ای که دستورالعمل‌های آلوده تله ClickFix در آن جا خوش کرده‌اند. تیم امنیتی Island متوجه شد که طی یک بازه ۳ روزه در ماه آگوست، حداقل دو کاستوم جی‌پی‌تی مجزا دقیقاً همین رفتار فریبکارانه را پیاده کرده‌اند.

طبق بررسی‌های محققان، ابعاد این کمپین مخرب بسیار گسترده بوده است؛ هکرها در یک بازه سه‌ماهه (از می ۲۰۲۶ تا آگوست ۲۰۲۶) حدود ۸۵۰ تبلیغ پولی، ۲۶ لینک جعلی ChatGPT و ۷۱ شناسه کمپین تبلیغاتی در گوگل ادز (Google Ads) به راه انداخته بودند تا طعمه‌های بیشتری شکار کنند.

تله بدافزاری ClickFix دقیقاً چیست و چطور کار می‌کند؟

تله‌های کلیک‌فیکس (ClickFix) به شکلی مهندسی شده‌اند که کاربر را فریب دهند تا خودش کدهای مخرب را در سیستم اجرا کند. در این پرونده، دستورالعمل‌های موجود در دامنه پشتیبان به گونه‌ای طراحی شده‌اند که با فریب دادن کاربر، دستوری را در محیط ویندوز اجرا کنند؛ دستوری که بی‌سروصدا بدافزار را دانلود و روی کامپیوتر مستقر می‌کند.

به محض اجرا، سیستم کاملاً آلوده می‌شود. این بدافزار سرسخت حتی پس از ری‌استارت شدن رایانه نیز پاک نمی‌شود و به کارش ادامه می‌دهد. هکرها با اتصال این بدافزار به یک ربات تلگرام، تمام اطلاعات به سرقت‌رفته را مستقیم تحویل می‌گیرند. جالب‌تر اینکه این بدافزار از ابزاری به نام NetSupport RAT استفاده می‌کند؛ ابزاری مخرب که کنترل کامل سیستم قربانی را از راه دور در اختیار مهاجمان قرار می‌دهد.

بررسی‌های Island نشان می‌دهد که دامنه‌های مورد استفاده هکرها مدام در حال تغییر و چرخش بوده‌اند و از چندین روش مختلف برای توزیع بدافزار در ویندوز استفاده شده است؛ موضوعی که ثابت می‌کند این حمله متکی به یک وبسایت منفرد نبوده و ساختاری کاملاً سازمان‌یافته دارد.

این شرکت امنیتی اعلام کرده که در ابتدا یکی از ابزار‌های هوش مصنوعی‌اش این رفتارهای مشکوک را شناسایی کرده و سپس محققان انسانی صحت آن را تأیید کرده‌اند. با این حال، هنوز دقیقاً مشخص نیست چه تعداد کاربر در سراسر دنیا طعمه این کلاهبرداری شده‌اند.

در این رابطه با گوگل مکاتبه شده تا مشخص شود چه تمهیداتی برای پاکسازی این تبلیغات در نظر گرفته‌اند و به محض دریافت هرگونه پاسخ یا واکنش رسمی، جزییات آن منتشر خواهد شد.

چطور در دام این کلاهبرداری‌های اینترنتی نیفتیم؟

ترکیب بدافزار و تبلیغات اینترنتی که به آن «ملورتایزینگ» (Malvertising) می‌گویند، ماجرای تازه‌ای نیست و سابقه‌ای طولانی در دنیای وب دارد. به همین دلیل هنگام کلیک روی هر تبلیغ آنلاینی باید شش‌دانگ حواستان جمع باشد. یکی از بهترین راه‌ها برای در امان ماندن، استفاده از مسدودکننده‌های تبلیغات (Ad Blocker) است؛ از آنجایی که لینک‌های اسپانسرشده گوگل عملاً تبلیغاتی هستند، اکثر مسدودکننده‌ها جلوی نمایش آنها را به کلی می‌گیرند.

اما اگر مسدودکننده تبلیغات ندارید یا تمایلی به استفاده از آن ندارید، نشانه‌های هشداردهنده‌ای وجود دارد که حین جستجو و مخصوصاً زمان مواجهه با نسخه‌های مشکوک ChatGPT باید حتماً به آنها توجه کنید.

مهم‌ترین نکته درباره ChatGPT این است که چه کاربر همیشگی آن هستید و چه تازه می‌خواهید آن را امتحان کنید، آدرس رسمی chatgpt.com را مستقیماً در نوار آدرس مرورگر تایپ کنید؛ اصلاً نیازی نیست هر بار نام آن را در گوگل جستجو کنید.

علاوه بر این، بررسی قطعی‌ها و اختلالات چت‌جی‌پی‌تی در طول سال‌های گذشته نشان می‌دهد که این هوش مصنوعی حتی در اوج شلوغی سرور‌ها یا شدیدترین قطعی‌ها، هرگز کاربر را به یک «دامنه پشتیبان» (Backup Domain) هدایت نمی‌کند. اگر با مشکلی مواجه شدید، روی هیچ لینکی کلیک نکنید و در عوض، وضعیت سرویس را همیشه از صفحه رسمی وضعیت اوپن‌ای‌آی بررسی نمایید.

یک قانون طلایی را هم آویزه گوشتان کنید: هیچ سیستم اعتبارسنجی یا کپچای (CAPTCHA) معتبری در دنیا هرگز از شما نمی‌خواهد پنجره Run ویندوز را باز کنید یا کدی را در آن پیست نمایید! بنابراین اگر سایتی از شما خواست کلیدهای ترکیبی Win + R را بزنید یا دستوری را در پاورشل (PowerShell) اجرا کنید، بلافاصله آن صفحه را ببندید.

در نهایت، همیشه از یک آنتی‌ویروس معتبر و قدرتمند روی سیستم خود استفاده کنید و مطمئن شوید که پایگاه داده آن همیشه به‌روز است و روی تمام دستگاه‌هایتان، از کامپیوتر گرفته تا گوشی هوشمند، به درستی اجرا می‌شود.