起点 chatgpt.com，终点 PowerShell：一个伪装成新模型的 GPT 是怎么把远控木马装进去的
40 多起事件、2 起确认源头、1 条命令。
你在搜索框里敲下「chatgpt」，点开第一条结果，地址栏显示的是 chatgpt.com——真的。页面顶上写着「Plus 5.6」，像刚发布的新模型。你随口问一句，它只回一段「服务可用性通知」：主域名容量有限，建议去备用域名继续。
安全公司 Huntress 把这条链从头拆到了尾：起点是一个真实域名，终点是你自己按下的回车。
从真域名到你按下回车
入口先被买下来了。攻击者买了「chatgpt」这个词的赞助位，搜索结果里的链接指向 chatgpt.com 上两个自定义 GPT，其中一个叫「Plus 5.6」，整个页面只有角落一个「community builder」小标签在提示它不是官方发布。
不管你问什么，那个 GPT 都只回同一段通知：要么升级订阅，要么去备用域名，并补一句「如急需使用，我们建议走备用域名」。备用域名托管在 Google Sites 上，页面里放着一个仿冒 Cloudflare 的验证框，要求你复制一段命令、粘进 Windows 运行框、回车。这就是 ClickFix：不利用任何漏洞，只让你亲手执行。
命令本身很难看懂——IP 用十进制写，下载下来的脚本由 27000 个字符的负数组成，在内存里自己解码，可读代码不落盘（Security Affairs）。落地的安装包叫 ISOSimple.msi，自称一款打印机配置读取工具，还把自己从已安装程序列表里藏掉。
真正被借用的是一个 Canon 的签名程序。攻击者把 Canon CaptureOnTouch 里签名有效的 COTFileReadApp.exe 连它的日志库一起打包，只改了那个库导入表里的一行，让它多加载一个 rdCore.dll——Windows 找 DLL 时先查程序自己所在目录，这就是 DLL 侧加载。rdCore.dll 接着从一个 WAV 文件里取加密加载器：文件头说它约 700KB，实际超过 1MB，前半段是真音频，后半段是加密载荷。最后它去找 monitor.raw，一个自己做的加密文件系统，里面 315 个文件夹、806 个文件，装着持久化脚本和最终的远控木马。
这条链上没有一样东西是假的
域名是 OpenAI 的，页面托管在 Google Sites，EXE 是 Canon 签的，DNS 查询走 Cloudflare、Google 和 Quad9 的加密解析。每一步都踩在一个可信的名字上。
木马落地后先摸环境：绕开 AMSI，摘掉 ntdll.dll 的钩子躲开用户态监控，再比对 CPU 厂商字符串判断自己是不是在虚拟机里。确认不在沙箱，才继续往下走。之后它能读已装杀软与 Defender 状态、开远程桌面并广播屏幕、调用摄像头麦克风、认出 17 种浏览器、在全盘按内容搜文件、继续投放二级载荷。
这条链上没有一样东西是假的，假的是它们被组合在一起的方式。
下架的速度，赶不上重新上线
Huntress 把第一个自定义 GPT 报给了 OpenAI，对方在 9 月 25 日下架；两天后，同一个活动的另一个 GPT 又上线了，只是把被借用的签名程序从 Canon 换成了 Stardock。把 AI 聊天平台的分享对话、以及伪装成 Claude Artifacts 的页面拿来分发木马，此前也都出现过，Dark Reading 的报道里列了这一类变体。
拆解这条链的研究者给的判断很直接：可信域名已经不再是有用的信号，标准得从「看它从哪来」换成「看它让你做什么」。他给的那条规则很短：任何网站、聊天机器人、客服页面或者「验证工具」，都没有正当理由让你把一条命令粘进 PowerShell 或终端，不管它做得多像真的。这类手法现在已经成规模，CISA 专门为它发过通告。
那我们自己该怎么判断
- 搜索结果的第一条不等于官方。 赞助位是可以买的，它买的就是你看到域名就放心的那零点几秒。
- AI 工具不会让你粘命令。 聊天页面需要你做的只有输入和点击；一旦出现「复制下面这段命令」，不管页面多像真的，先停。
- 粘命令等于主动执行。 前面几步再精巧，最后都要你自己按下回车——这也是这类攻击唯一需要你配合的地方。
把「看域名」换成「看动作」，大概就是这次事件留下的东西。
A. 以后只用收藏夹或官方应用进 AI 工具，不点搜索结果
B. 还是会点，但会先看一眼后面有没有「让你粘命令」这一步
C. 这事交给终端管控去挡，个人不做判断
今天就聊到这。有收获点个「赞」，想接着看就点个关注。