دانلود نسخه فیک ChatGPT یا کلود (Claude) برای ویندوز می‌تواند امنیت کل کامپیوتر را به خطر بیندازد. پژوهشگران امنیت سایبری از یک کمپین بدافزاری خبر داده‌اند که با انتشار صفحات جعلی در گیت‌هاب و نمایش آن‌ها در نتایج جست‌وجوی گوگل، کاربران را به دانلود فایل‌های آلوده ترغیب می‌کند. نکته خطرناک این حمله آن است که بدافزار در کنار فایل نصب رسمی و دارای امضای دیجیتال پنهان می‌شود و به این ترتیب می‌تواند از برخی بررسی‌های امنیتی ویندوز عبور کند.
🔷 صفحات جعلی گیت‌هاب در نتایج گوگل، کاربران را به دانلود نسخه‌های آلوده ChatGPT و Claude هدایت می‌کنند.
🔷 فایل دانلودشده شامل نصب‌کننده واقعی و امضاشده در کنار یک فایل مخرب با نام winmm.dll است.
🔷 بدافزار با روش DLL sideloading از بررسی‌های امنیتی ویندوز عبور می‌کند.
🔷 محموله نهایی حمله یک بدافزار استخراج رمزارز است که منابع سیستم را مصرف می‌کند.
🔷 دانلود ابزارهای هوش مصنوعی از وب‌سایت رسمی توسعه‌دهنده یا فروشگاه مایکروسافت امن‌تر است.
پژوهشگران امنیتی شرکت Check Point Research این کمپین مخرب را پس از شناسایی صفحات جعلی گیت‌هاب بررسی کردند؛ صفحاتی که در رتبه‌های بالای نتایج جست‌وجوی گوگل ظاهر می‌شدند و کاربران را به دریافت نسخه‌های تقلبی برنامه‌های دسکتاپ هوش مصنوعی هدایت می‌کردند.
فایل دانلودشده در قالب یک پوشه فشرده ZIP ارائه می‌شود که دو فایل مهم دارد: یک نصب‌کننده واقعی و دارای امضای دیجیتال از شرکت OpenAI یا Anthropic و یک فایل مخرب با نام winmm.dll.
هنگامی که کاربر فایل نصب رسمی را اجرا می‌کند، ویندوز کتابخانه مخرب DLL را نیز از همان مسیر بارگذاری می‌کند. این روش که DLL sideloading نام دارد، به مهاجمان اجازه می‌دهد کد مخرب خود را از طریق یک فایل اجرایی معتبر اجرا کنند؛ بدون اینکه لزوماً هشدار امنیتی آشکاری نمایش داده شود.
بررسی‌های Gridinsoft نشان می‌دهد این بدافزار ابتدا کاربران را به اعطای دسترسی مدیر سیستم (Administrator) ترغیب می‌کند و سپس به‌صورت پنهانی در پوشه‌های سیستمی ویندوز مستقر می‌شود.
این بدافزار برای دریافت دستورهای جدید از روش‌های غیرمعمولی استفاده می‌کند. به‌جای برقراری ارتباط مستقیم با سرورهای اختصاصی و مشکوک، تصویر پروفایل یک کانال تلگرام را بررسی می‌کند و از طریق درخواست به رکوردهای DNS گوگل، اطلاعات و دستورهای موردنیاز خود را دریافت می‌کند.
استفاده از سرویس‌های اینترنتی معمولی برای پنهان کردن ارتباطات مخرب، شناسایی فعالیت این بدافزار را برای ابزارهای آنتی‌ویروس سنتی دشوارتر می‌کند.
محموله نهایی این حمله یک بدافزار استخراج رمزارز (Cryptominer) است که بدون اطلاع کاربر از منابع پردازشی کامپیوتر برای استخراج استفاده می‌کند. این فعالیت می‌تواند باعث افزایش مصرف پردازنده و کاهش عملکرد سیستم شود.
بااین‌حال، بدافزار برای پنهان ماندن رفتار خود را تغییر می‌دهد: هر زمان کاربر ماوس را حرکت دهد، فرایند استخراج متوقف می‌شود. به این ترتیب، احتمال اینکه کاربر هنگام استفاده معمول از کامپیوتر متوجه مصرف غیرعادی منابع سیستم شود، کاهش پیدا می‌کند.
تحلیل کد بدافزار همچنین نشان داده است که این نسخه، سیستم‌هایی با چیدمان صفحه‌کلید روسی یا برخی کشورهای همسایه را نادیده می‌گیرد و اوکراین را به‌عنوان هدف منطقه‌ای خود انتخاب می‌کند.
یاش کاداکیا، مدیر ارشد فناوری شرکت Security Brigade، هشدار داده است که وجود امضای دیجیتال معتبر به‌تنهایی برای اطمینان از امنیت یک نرم‌افزار کافی نیست.
نسخه‌های قبلی همین ابزار مخرب در ژوئن ۲۰۲۶ توسعه‌دهندگان نرم‌افزار را هدف قرار داده بودند. مهاجمان در آن حملات، بدافزار را در قالب ابزار برنامه‌نویسی هوش مصنوعی Cursor منتشر می‌کردند.
از آنجا که ابزار اصلی این حمله توانایی اجرای دستورهای دریافتی از راه دور را دارد، مهاجمان می‌توانند در نسخه‌های بعدی از آن برای نصب بدافزارهای دیگری نیز استفاده کنند. برای مثال، به‌جای استخراج رمزارز، امکان انتشار ابزارهای سرقت رمز عبور و اطلاعات حساس کاربران وجود دارد.
مهم‌ترین راه مقابله با این حمله، دانلود نرم‌افزارهای هوش مصنوعی از منابع رسمی است. نمایش یک وب‌سایت در رتبه‌های بالای گوگل یا انتشار فایل در یک مخزن گیت‌هاب به‌معنای معتبر بودن آن نیست.
برای کاهش خطر آلودگی سیستم، این نکات را رعایت کنید:
اگر یکی از نصب‌کننده‌های مشکوک را اجرا کرده‌اید، پژوهشگران توصیه می‌کنند اتصال کامپیوتر به اینترنت را قطع کنید و پوشه‌های سیستمی را از نظر وجود فایل‌های غیرمجاز بررسی کنید. همچنین اسکن کامل سیستم با یک ابزار امنیتی معتبر می‌تواند به شناسایی آلودگی احتمالی کمک کند.
کمپین جدید بدافزاری نشان می‌دهد حتی فایل نصب واقعی و دارای امضای دیجیتال نیز ممکن است در کنار یک کتابخانه مخرب برای آلوده کردن ویندوز استفاده شود. بنابراین، برای دانلود نسخه دسکتاپ ChatGPT و سایر ابزارهای هوش مصنوعی نباید صرفاً به نتایج جست‌وجو یا فایل‌های منتشرشده در گیت‌هاب اعتماد کرد؛ مراجعه مستقیم به منابع رسمی همچنان مطمئن‌ترین روش است.
🔴 همچنین بخوانید: دولت سوئد دسترسی کارکنان به ChatGPT و Claude را مسدود کرد؛ Copilot جایگزین شد
آیا تاکنون نرم‌افزارهای هوش مصنوعی را از طریق نتایج جست‌وجوی گوگل یا مخازن گیت‌هاب دانلود کرده‌اید؟
