Gli attaccanti trasformano le funzioni di condivisione dell’AI in canali per distribuire malware

I criminali informatici stanno sfruttando contenuti pubblici ospitati dai principali servizi di AI per distribuire malware sotto la copertura di domini legittimi e marchi riconoscibili.

Nel corso di un’osservazione durata nove mesi, l’Huntress Security Operations Center ha identificato campagne che abusavano di Claude Artifacts, delle pagine Claude condivise e delle conversazioni pubbliche di ChatGPT e Grok. Invece di compromettere i provider o manipolare i modelli alla base dei servizi, gli attaccanti hanno utilizzato le normali funzioni di pubblicazione e condivisione come livello di distribuzione.

Le campagne hanno raggiunto utenti Windows e macOS e distribuito SectopRAT, MacSync e AMOS. Alcune pagine malevole sono scomparse nel giro di poche ore o giorni, ma l’infrastruttura associata per i reindirizzamenti e la distribuzione del malware è rimasta attiva anche dopo la rimozione dei contenuti ospitati dai servizi di AI.

I domini legittimi dei servizi di AI creano un pericoloso confine di fiducia

Gli attacchi fanno leva su un vantaggio semplice: gli utenti sono più propensi a fidarsi delle istruzioni e dei download visualizzati su claude.ai, chatgpt.com o grok.com rispetto ai contenuti ospitati su un dominio sconosciuto.

Diverse funzioni autentiche delle piattaforme hanno reso possibile questo approccio:

• Claude Artifacts può mostrare i contenuti generati in un riquadro di anteprima e pubblicarli tramite un link pubblico.
• Le pagine claude.ai/share espongono conversazioni condivise che possono essere distribuite tramite social media, forum, annunci pubblicitari e risultati di ricerca.
• Le conversazioni condivise di ChatGPT e Grok possono essere indicizzate e posizionate dai motori di ricerca, anche per query relative all’assistenza tecnica.

Questi servizi mettono a disposizione il dominio, la connessione HTTPS, gli elementi dell’interfaccia e l’identità del marchio. Agli attaccanti resta da fornire il contenuto ingannevole.

La distinzione è importante. Non è stata segnalata alcuna intrusione nelle piattaforme di AI e non ci sono indicazioni che gli attaccanti abbiano aggirato i controlli di sicurezza del modello o degli account. Hanno invece trasformato funzionalità legittime in una superficie di social engineering.

Non sono state identificate versioni vulnerabili dei software interessati, perché le campagne non dipendono da una specifica release vulnerabile di un’applicazione. Inoltre, all’attività non sono associati identificativi CVE, punteggi CVSS o voci nel catalogo CISA Known Exploited Vulnerabilities.

FakeAgent ha usato un Claude Artifact per fingersi una pagina di download di un’applicazione

A luglio, Huntress ha monitorato una campagna denominata FakeAgent, che ha colpito più di ventinove organizzazioni. Gli attaccanti hanno creato una pagina falsa per il download di Claude Desktop e Cowork utilizzando un Claude Artifact disponibile pubblicamente.

La pagina era ospitata sull’autentico dominio claude.ai e imitava l’esperienza ufficiale di download del software. Gli utenti che cercavano su Bing l’applicazione desktop di Claude potevano imbattersi nella pagina e selezionare quello che sembrava un link di download legittimo.

Il link effettivo reindirizzava i visitatori verso un dominio esterno, dal quale veniva distribuito il malware SectopRAT.

Questa struttura divideva l’attacco in due livelli. La piattaforma di AI forniva la pagina di atterraggio credibile, mentre l’infrastruttura controllata dall’attaccante gestiva il reindirizzamento e la distribuzione del payload. Bloccare o eliminare soltanto l’Artifact pubblico risolveva quindi un solo componente della catena.

Huntress ha segnalato l’Artifact e Anthropic lo ha rimosso entro il 22 luglio. Gli incidenti collegati allo stesso dominio di reindirizzamento sono proseguiti fino ad agosto, dimostrando che la rimozione dell’esca ospitata su un dominio attendibile non ha disattivato immediatamente l’operazione nel suo complesso.

La campagna ha inoltre evidenziato una difficoltà di moderazione. Gli Artifact pubblici sono pensati per dimostrazioni rapide e una distribuzione semplice, quindi un’imitazione curata può rimanere disponibile abbastanza a lungo da intercettare gli utenti provenienti dai risultati di ricerca.

Una falsa guida del supporto Apple ha distribuito MacSync tramite Terminale

Un’altra campagna ha preso di mira una persona che cercava su Google «Claude su Mac». Un risultato sponsorizzato conduceva a una conversazione pubblica su claude.ai/share, presentata come una guida all’installazione del supporto Apple.

La pagina non mostrava diversi segnali d’allarme comunemente associati al phishing. Il nome host era autentico, la connessione non generava avvisi relativi al certificato e il contenuto appariva all’interno della normale interfaccia di Anthropic per le conversazioni condivise. La conversazione risultava inoltre condivisa da Apple Support, rafforzando la falsa attribuzione.

Le istruzioni chiedevano alla vittima di copiare e incollare un comando curl su una sola riga nel Terminale di macOS. L’esecuzione del comando avviava un processo d’infezione in sei fasi che installava l’infostealer MacSync.

MacSync raccoglieva dati di autenticazione e accesso di grande valore, tra cui:

• Cookie del browser e credenziali salvate
• Segreti del portachiavi di macOS
• Dati delle sessioni Telegram
• Chiavi SSH
• Chiavi di accesso ai servizi cloud

Questo crea rischi che vanno oltre il Mac inizialmente infettato. I cookie rubati possono consentire il dirottamento delle sessioni, mentre le chiavi SSH e quelle di accesso al cloud possono fornire accesso a server remoti, sistemi di sviluppo o infrastrutture ospitate. Il furto dei dati dal portachiavi può esporre le credenziali associate a più applicazioni e servizi.

L’azione decisiva viene eseguita manualmente dall’utente. Di conseguenza, la tecnica può aggirare l’ipotesi secondo cui il malware arrivi soltanto tramite un’applicazione scaricata o una vulnerabilità sfruttata nel browser.

Il search poisoning ha fatto risalire i consigli malevoli di ChatGPT e Grok

A dicembre, gli attaccanti hanno utilizzato conversazioni pubbliche di ChatGPT e Grok per prendere di mira persone che cercavano come «liberare spazio su disco in macOS».

Hanno preparato conversazioni contenenti procedure di risoluzione dei problemi malevole, le hanno pubblicate utilizzando le funzioni di condivisione delle piattaforme e hanno usato tecniche di search-engine-optimization poisoning per aumentarne la visibilità nei risultati di Google. Gli URL risultanti appartenevano a chatgpt.com e grok.com, facendo apparire le istruzioni più credibili rispetto a contenuti equivalenti pubblicati su un sito registrato di recente.

Invece di fornire indicazioni sicure per liberare spazio su disco, le pagine utilizzavano una tecnica in stile ClickFix. Alle vittime veniva chiesto di inserire comandi nel Terminale che alla fine installavano l’infostealer AMOS.

Gli attacchi ClickFix spostano parte della catena d’infezione sulla vittima. La pagina malevola potrebbe non contenere un payload eseguibile e non è detto che venga scaricato qualcosa finché l’utente non segue le istruzioni visualizzate. Questo può ridurre l’efficacia dei controlli che si concentrano esclusivamente sugli allegati malevoli e sui download diretti di file binari.

Le conversazioni pubbliche generate dall’AI si inseriscono inoltre naturalmente nelle attività di supporto basate sui motori di ricerca. Gli utenti consultano già i servizi di AI per ricevere consigli sull’installazione, risolvere errori e ottenere aiuto con la riga di comando. Gli attaccanti possono sfruttare questa aspettativa senza dover imitare l’intera piattaforma.

Si tratta di abuso delle funzionalità, non di una vulnerabilità software convenzionale

Le campagne non rappresentano una falla risolvibile tramite un normale aggiornamento di sicurezza. Non è stato segnalato alcun bug di memory corruption, bypass dell’autenticazione, sandbox escape o compromissione del modello.

Il percorso d’attacco combina invece diversi sistemi legittimi:

1. Una piattaforma di AI pubblica un Artifact o una conversazione condivisa.
2. L’ottimizzazione per i motori di ricerca o un risultato sponsorizzato lo porta davanti a potenziali vittime.
3. Il dominio del servizio autentico riduce i sospetti della vittima.
4. Il contenuto consiglia un download o un comando.
5. Un reindirizzamento, un comando shell o uno script recupera il malware.
6. L’infostealer installato estrae credenziali, sessioni e chiavi di accesso.

Dal punto di vista operativo, la catena può avere conseguenze gravi anche in assenza di un CVE. La domanda rilevante per la sicurezza non è se sia stato sfruttato il codice del provider di AI, ma se le funzioni di pubblicazione attendibili possano essere utilizzate per convincere gli utenti a oltrepassare un confine di sicurezza.

La breve durata delle singole pagine complica le indagini. I contenuti potrebbero essere rimossi prima che gli analisti riescano a raccoglierli, mentre i domini di reindirizzamento e l’infrastruttura per la distribuzione dei payload continuano a operare. I difensori devono quindi preservare le evidenze presenti sugli endpoint e nella rete, invece di considerare la rimozione della pagina come una prova della fine della campagna.

I difensori devono concentrarsi su comandi, esecuzione e persistenza

Le organizzazioni non possono presumere in sicurezza che un contenuto sia attendibile soltanto perché appare sul dominio autentico di un servizio di AI. È necessario richiedere verifiche aggiuntive ogni volta che una guida generata dall’AI chiede di eseguire un comando nel Terminale, scaricare software, intervenire sulle credenziali o modificare un’impostazione di sicurezza.

Le liste di autorizzazione delle applicazioni possono impedire l’esecuzione di file binari e script non autorizzati dopo che una vittima ha seguito istruzioni malevole. Le aziende dovrebbero inoltre limitare o monitorare i comandi avviati dal contenuto degli appunti, soprattutto negli ambienti in cui i dipendenti usano abitualmente gli strumenti di AI per ricevere assistenza tecnica.

I team che gestiscono gli endpoint dovrebbero analizzare:

• Attività pianificate create di recente
• Modifiche inattese alle esclusioni dell’antivirus
• Script o file eseguibili non approvati
• Sequenze di comandi copiate da pagine pubbliche di supporto
• Attività successive alla visita di conversazioni AI condivise
• Esposizione di credenziali, chiavi SSH, chiavi cloud o sessioni su un dispositivo infetto

Per queste campagne non sono stati divulgati hash specifici, domini di reindirizzamento, stringhe di comando o altri indicatori tecnici. Il rilevamento deve quindi dare priorità al comportamento e al contesto, anziché a un elenco fisso di indicatori.

Gli Artifact e le conversazioni condivise potenzialmente malevoli devono essere segnalati rapidamente al provider della piattaforma. I difensori dovrebbero tuttavia identificare anche i domini esterni contattati dagli endpoint interessati e stabilire se sia necessario revocare credenziali o chiavi di accesso.

La lezione centrale delle analisi di Huntress sull’abuso delle piattaforme di AI attendibili è che un dominio autentico dimostra dove è ospitato un contenuto, non chi lo ha creato né se le istruzioni siano sicure.