Підробний сайт для завантаження ChatGPT поширює шкідливе програмне забезпечення серед користувачів Windows і Mac

Обережно, шахраї: підроблений сайт ChatGPT викрадає паролі та криптовалюту

Нещодавно виявлено потужний шахрайський ресурс, який маскується під офіційну сторінку завантаження ChatGPT від OpenAI. Його мета — заражати відвідувачів шкідливим програмним забезпеченням, що краде паролі, дані браузера, криптовалютні гаманці та іншу чутливу інформацію.

Сайт openew[.]app дуже точно копіює зовнішній вигляд справжньої сторінки OpenAI і пропонує додатки для Windows та macOS, які здаються легітимними. Однак користувачі Windows отримують шкідливий завантажувач, який викрадає облікові дані, а на Mac поширюється відомий шкідник Atomic Stealer (AMOS), який спеціалізується на викраденні криптовалютних активів.

Технічний аналіз сайту та шкідливого ПО

Домен openew[.]app дуже нагадує офіційний ресурс OpenAI. Він має темний дизайн, схожий логотип, знайомі тексти та помітні кнопки для завантаження додатків на різні платформи. Використання домену .app, що управляється Google, та HTTPS забезпечує відображення замочка у браузері — це реально створює відчуття безпеки.

Особливістю цього шахрайства є подвійне завантаження для Windows і Mac — підхід, яким користуються справжні виробники софту. При натисканні кнопки для Windows завантажується файл Chat_GPT.exe, а для Mac — образ диска ChatGpt.dmg.

Загроза для користувачів Windows

Файл Chat_GPT.exe зібрано з легкодоступних компонентів. Інсталятор створений за допомогою відкритого безкоштовного Inno Setup і базується на Electron — фреймворку, що використовують численні популярні додатки на кшталт Slack чи Discord. Після запуску встановлюються файли у папку %APPDATA%\LeronApplication та запускається шкідлива програма з підтримкою PowerShell, яка направляє викрадення даних на сервер з IP 188.137.246.189.

Цей процес ретельно прихований: PowerShell отримує команди з оперативної пам’яті замість жорсткого диска, аби уникнути виявлення антивірусом. Хоч лише частина сканерів виявила загрозу, поведінка зловмисного ПО свідчить про ефективний крадіжку облікових даних і організацію стійкої присутності на системі.

Шкідливе ПЗ для macOS — Atomic Stealer (AMOS)

На Mac-додатку використовується просунутий троян AMOS — широко відомий і активно застосовуваний сервіс-злочинець для викрадення інформації, зокрема криптовалюти. Він виконує складний ланцюг AppleScript-команд, намагається безшумно верифікувати пароль користувача за допомогою служб macOS і, у разі невдачі, виводить підроблений запит на введення пароля з маківською іконкою замка.

Якщо користувач вводить пароль, шкідник його зберігає у відкритому вигляді і переходить до викрадення ключів, сесій Telegram, куків браузерів, а також обробляє дані з 16 гаманецьних папок, включно з Ledger Live та Trezor Suite.

Особлива небезпека: підміна криптогаманців

Ще більш небезпечна функція AMOS — заміна офіційних додатків для криптогаманців на троянські версії. Якщо пароль уже вкрадений, шкідник отримує права адміністратора через sudo і замінює справжні гаманці фейковими, що відкриває доступ до активів зловмисникам.

Такий прийом уже неодноразово фіксувався у злочинній практиці, що чітко вказує на фінансову мотивацію — крадіжку криптовалюти.

Скільки коштує побудова такої операції?

Домен openew.app обійшовся зловмисникам приблизно у 15 доларів на рік — цілком стандартна ціна реєстрації. Використання HTTPS додає “офіційності” сайту завдяки замочку в браузері, що виводить користувача в стан хибної довіри.

Підготовка версії для Windows була недорогою, адже Inno Setup, Electron і базові бібліотеки безкоштовні, а серверні ресурси — дешеві VPS. Загальна початкова вартість Windows-складової навряд перевищує 100 доларів.

А ось AMOS для macOS здається значно дорожчим – оренда цього шкідника становить близько 3000 доларів на місяць, що в кілька разів перевищує аналогічні продукти для Windows, які коштують близько 250 доларів.

Це показує, що зловмисники розглядають macOS жертв як більш цінних, з огляду на зосередженість на криптовалюті та потенційну вигоду.

Чому саме AI-продукти стають цілями шахраїв?

Звичайні популярні програми мають усталені канали і відомі офіційні сайти — Chrome від Google, Photoshop від Adobe. Але зі штучним інтелектом ситуація інша: багато користувачів завантажують такі програми вперше і орієнтуються на пошукові результати, рекламу чи посилання з соцмереж.

Ринок AI швидко зростає та постійно змінюється: нові продукти, оновлення, бум запитів на “скачати ChatGPT” чи “встановити Claude” створюють ідеальне поле для підробок і шахрайства.

При цьому офіційні сторінки AI-додатків часто мінімалістичні: простий дизайн, логотип і кнопка завантаження — це все, що зловмисникам треба копіювати. Інвестиції у створення фейкових сайтів мінімальні, а довіра користувачів — висока.

Що цікаво, зловмисники можуть швидко змінювати “бренд” на сайті, відстежуючи тренди AI, і мало що потребує переналаштування інфраструктури — практично лише зовнішній вигляд сторінки.

Рекомендації, якщо ви могли завантажити підроблений додаток

Якщо ви нещодавно встановлювали ChatGPT або подібний продукт не з офіційного джерела, дійте негайно:

• Вийдіть зі своїх облікових записів (пошта, банківські сервіси, хмарні сховища, GitHub, Discord, Telegram, криптобіржі) через функцію “вийти на всіх пристроях”.
• Змініть паролі, починаючи з основної електронної пошти.
• Оновіть API-ключі, SSH-ключі та інші доступи, що зберігаються в системі.

1. Якщо у вас є криптовалюта, переведіть її скориставшись іншим чистим пристроєм.
2. Не запускайте на зараженій macOS програми Ledger Live чи Trezor Suite до повного очищення системи, щоб уникнути втрати коштів.
3. Слідкуйте за активністю на банківських рахунках та платіжних картках.

Найнадійнішим методом відновлення є перевстановлення операційної системи. Якщо пристрій використовуєте для роботи, неодмінно зв’яжіться з IT-відділом для допомоги.

Ключові аспекти й важливі деталі операції

Шахрайства такого роду непокоїть не саме шкідливе ПЗ (воно вже доволі відоме), а ефективність та масштабність фальшивого екосистемного ланцюжка, де кожен елемент від домену й до серверної інфраструктури — дешевий і модульний, але при цьому дуже дієвий.

Причина успішності — об’єднання двох платформ під одним брендом штучного інтелекту. Широке розповсюдження Windows дозволяє отримувати великі обсяги викрадених даних, тоді як macOS охоплює дорожчу категорію жертв із криптовалютними активами.

Оператори не обирають між Windows чи Mac — вони працюють з обома, адаптуючи підхід під економіку жертв. Коли інтерес до певного AI-продукту згасає, просто переходять до наступного тренду.

Індикатори компрометації (IOCs)

Контрольні суми файлів (SHA-256):

• c9e0e6985dca3a179c9bdea4e7b38f7dc57fe00ecedc2fd634256fc53bf2de2d — для Chat_GPT.exe
• c0919e1999eaee67e67aeda0287722775afb04e9a9a0f727928b4d11265fb70b — для ChatGpt.dmg

Мережеві індикатори:

• openew[.]app
• 188[.]137[.]246[.]189
• 192[.]253[.]248[.]181
• 172[.]94[.]9[.]250

---

---