Criminosos abusam de links legítimos do ChatGPT para distribuir NetSupport RAT em ataques ClickFix
Uma URL legítima nem sempre significa que o conteúdo apresentado ao usuário é confiável. Uma nova campanha de malware está explorando justamente essa diferença ao utilizar páginas compartilhadas do ChatGPT como primeira etapa de uma cadeia de engenharia social que termina com a instalação do NetSupport RAT em computadores Windows.
A operação analisada por pesquisadores de segurança começa em uma URL legítima do domínio chatgpt.com. Em vez de explorar uma vulnerabilidade da OpenAI, os criminosos utilizam conteúdo compartilhado para apresentar uma falsa mensagem de indisponibilidade e convencer a vítima a visitar um suposto domínio alternativo. A partir daí, uma falsa verificação semelhante às utilizadas pela Cloudflare conduz o usuário a uma técnica conhecida como ClickFix.
O ataque é particularmente relevante porque combina três elementos que individualmente parecem comuns: uma plataforma legítima e amplamente reconhecida, uma verificação humana visualmente familiar e uma ação executada pelo próprio usuário.
Quando reunidos, esses elementos transformam confiança em mecanismo de execução.
O ataque começa em um domínio verdadeiro do ChatGPT
Segundo a análise publicada pelo GBHackers em 1º de setembro de 2026, a cadeia observada começava em um link compartilhado legítimo do ChatGPT.
A página apresentava uma falsa mensagem alegando tráfego elevado e orientava o usuário a continuar por um suposto “domínio de backup”.
Essa distinção é importante: o domínio inicial realmente pertence ao ChatGPT.
O criminoso não precisa falsificar imediatamente a aparência do endereço porque utiliza uma funcionalidade legítima de compartilhamento como parte da engenharia social.
A documentação da OpenAI confirma que links compartilhados permitem disponibilizar conteúdo do ChatGPT por meio de URLs e recomenda explicitamente que usuários confirmem se o endereço utiliza chatgpt.com e se foi recebido de uma fonte confiável antes de abri-lo.
Mas a campanha demonstra uma limitação importante dessa verificação: confirmar apenas o domínio inicial não é suficiente quando o conteúdo legítimo conduz posteriormente para infraestrutura externa maliciosa.
A página não redireciona automaticamente a vítima
Outro detalhe torna o ataque interessante para equipes de segurança.
A página compartilhada não precisava utilizar JavaScript malicioso ou realizar um redirecionamento HTTP automático para retirar o usuário do ChatGPT.
Ela simplesmente apresentava uma mensagem afirmando que o serviço estava enfrentando tráfego elevado e disponibilizava um link para continuar em um suposto domínio alternativo.
A vítima precisava clicar.
Segundo a investigação, o destino utilizado era openai-backup[.]one, domínio sem relação com a OpenAI e registrado em 11 de agosto de 2026.
Isso transfere parte importante da cadeia de execução para decisões realizadas pelo próprio usuário.
O navegador não foi explorado. O ChatGPT não foi comprometido. A página inicial estava em infraestrutura legítima.
A arma principal era a credibilidade.
O falso domínio combina OpenAI e Cloudflare na mesma engenharia social
Depois de deixar o ChatGPT, a vítima encontra uma página controlada pelos atacantes que utiliza elementos visuais associados à OpenAI e apresenta uma falsa verificação humana inspirada em mecanismos conhecidos de proteção web.
Esse modelo explora outro comportamento aprendido pelos usuários.
CAPTCHAs, verificações anti-bot e páginas intermediárias da Cloudflare se tornaram tão comuns que executar uma pequena sequência de ações para provar que “não é um robô” pode parecer perfeitamente normal.
Os criminosos transformaram essa familiaridade em vetor de execução.
É nesse momento que aparece o ClickFix.
ClickFix faz a vítima executar o malware
Em vez de explorar diretamente uma vulnerabilidade do navegador ou do Windows, ClickFix utiliza instruções de engenharia social para fazer o usuário executar um comando.
Na campanha analisada, a página colocava silenciosamente um comando PowerShell na área de transferência do Windows e orientava a vítima a pressionar:
Windows + R → Ctrl + V → Enter
Para alguém sem conhecimento técnico, a sequência pode parecer apenas mais uma etapa de verificação.
Tecnicamente, porém, acontece algo completamente diferente.
O usuário abre a caixa Executar do Windows, cola um comando previamente preparado pelo atacante e autoriza sua execução.
O navegador deixa de ser o principal ambiente do ataque.
O próprio sistema operacional passa a executar as instruções do adversário.
Essa mudança é importante porque vários controles projetados para identificar downloads maliciosos no navegador podem ter menos visibilidade sobre uma sequência iniciada deliberadamente pelo usuário no Windows.
PowerShell inicia uma cadeia de execução em múltiplos estágios
A investigação relatada pelo GBHackers identificou PowerShell como componente importante da cadeia.
O primeiro estágio recuperava conteúdo remoto e o executava utilizando funcionalidades nativas do PowerShell.
Os pesquisadores também observaram mecanismos destinados a dificultar análise, ocultar a janela de console e identificar possíveis ambientes utilizados por pesquisadores ou sandboxes.
Uma segunda etapa era executada utilizando parâmetros como -NoProfile, -ExecutionPolicy Bypass e -WindowStyle Hidden.
O objetivo é reduzir sinais visíveis para o usuário e facilitar a execução silenciosa dos componentes posteriores.
Essa abordagem se encaixa em um padrão conhecido como Living off the Land (LotL), no qual ferramentas e componentes legítimos disponíveis no próprio sistema operacional são utilizados para auxiliar atividades maliciosas.
PowerShell, portanto, não é malware.
O risco está na maneira como ele está sendo utilizado.
ClickHunter coleta informações detalhadas da vítima
O segundo estágio identificado pelos pesquisadores apresentava referências ao nome ClickHunter.
Antes de entregar a carga final, o código coletava uma quantidade significativa de informações sobre o computador comprometido.
Entre os dados relatados estavam hostname, usuário, domínio, endereço IP público, cidade, região, país, provedor de internet, fuso horário, versão do Windows, arquitetura do processador e informação sobre privilégios administrativos.
Esses dados eram enviados para infraestrutura associada a um bot do Telegram.
Do ponto de vista operacional, esse tipo de reconhecimento permite que os criminosos classifiquem vítimas antes de decidir como prosseguir.
Um computador pessoal possui determinado valor.
Uma estação integrada a um domínio corporativo, utilizada por alguém com privilégios administrativos, pode representar uma oportunidade completamente diferente.
Um arquivo MP4 esconde o próximo estágio
A cadeia utiliza ainda uma técnica interessante de ocultação.
Segundo a análise, o malware recuperava um arquivo denominado video.mp4, com aproximadamente 6,5 MB.
Visualmente, tratava-se de um MP4 válido.
Mas o arquivo também continha uma carga PowerShell criptografada escondida em uma estrutura uuid personalizada do contêiner MP4.
O loader localizava essa estrutura específica, extraía os dados, realizava a descriptografia e depois descompactava o conteúdo utilizando GZip.
A técnica demonstra por que extensões de arquivo não devem ser interpretadas isoladamente como evidência de segurança.
Um arquivo pode continuar tecnicamente válido para determinado formato e, simultaneamente, carregar dados adicionais destinados a outro propósito.
O estágio final entrega o NetSupport RAT
Depois da extração, os pesquisadores identificaram um conjunto contendo aproximadamente vinte arquivos.
Entre eles estava um executável com referências ao NetSupport Client e NetSupport Manager Remote Control.
A análise do Joe Sandbox classificou a amostra associada à campanha como NetSupport RAT.
Aqui também é necessária uma distinção técnica.
NetSupport Manager é um software legítimo de administração remota.
Equipes de TI podem utilizá-lo para suporte, administração e controle remoto de computadores.
O problema surge quando criminosos instalam ou configuram a ferramenta sem autorização para obter acesso persistente aos endpoints das vítimas.
Essa utilização de ferramentas legítimas possui uma vantagem adicional para os atacantes: algumas tecnologias de segurança podem interpretar inicialmente determinados binários como software administrativo legítimo em vez de malware convencional.
Não é a primeira campanha abusando de links compartilhados do ChatGPT
A campanha atual não aparece isoladamente.
Em maio de 2026, pesquisadores da Push Security documentaram a campanha LLMShare, posteriormente reportada por diferentes veículos de segurança.
Naquela operação, criminosos também utilizaram páginas legítimas de compartilhamento do ChatGPT em conjunto com malvertising.
Anúncios conduziam usuários até conteúdo hospedado no domínio legítimo, que apresentava uma falsa indisponibilidade do serviço e sugeria baixar uma aplicação desktop para continuar utilizando o ChatGPT.
O download posterior ocorria fora da infraestrutura legítima e entregava malware.
O eWeek destacou precisamente essa característica: o risco não decorria de uma invasão da OpenAI, mas da utilização da reputação de um domínio legítimo para tornar a engenharia social mais convincente.
O CERT do Azerbaijão também publicou alerta sobre essa campanha, descrevendo a utilização de páginas compartilhadas do ChatGPT, falsos avisos de indisponibilidade e downloads maliciosos para Windows e macOS.
A confiança em plataformas de IA virou superfície de ataque
Existe uma mudança maior por trás dessas campanhas.
Durante anos, profissionais de segurança ensinaram usuários a verificar o domínio antes de confiar em uma página.
Essa recomendação continua correta.
Mas os atacantes começaram a explorar serviços nos quais o domínio é realmente legítimo.
GitHub, serviços de armazenamento cloud, plataformas SaaS, ferramentas de colaboração e agora aplicações de inteligência artificial podem ser utilizados para hospedar conteúdo, redirecionamentos ou instruções controladas por usuários.
A reputação da infraestrutura passa, portanto, a funcionar como parte da engenharia social.
O problema pode ser resumido em uma nova regra:
domínio legítimo não significa necessariamente conteúdo legítimo.
A OpenAI também recomenda cautela com links
A documentação oficial da OpenAI explica que links compartilhados permitem que usuários disponibilizem conversas por meio de URLs do ChatGPT.
A empresa recomenda confirmar se o link utiliza o domínio chatgpt.com e se foi enviado por alguém confiável antes de acessá-lo.
A documentação também permite denunciar conteúdo potencialmente prejudicial por meio da opção Report conversation/Denunciar conversa, quando disponível.
Links compartilhados de contas pessoais também não devem ser tratados como conteúdo privado apenas porque não aparecem normalmente em pesquisas: quem possuir acesso ao link pode visualizar e encaminhar o conteúdo.
Em documentação específica sobre links gerados pelo próprio ChatGPT, a OpenAI também alerta que terceiros podem fornecer informações maliciosas ou enganosas capazes de influenciar links apresentados pelo sistema e recomenda verificar o destino antes de prosseguir.
O sinal mais importante: CAPTCHA não executa PowerShell
Para usuários, existe uma regra extremamente simples que pode bloquear grande parte dessa classe de ataque.
Uma verificação CAPTCHA legítima não precisa que o usuário abra o Windows Run, cole comandos, execute PowerShell, Terminal, CMD ou scripts.
Se uma página solicitar:
Win + R
seguido de:
Ctrl + V
e depois:
Enter
a ação deve ser interrompida.
O mesmo princípio vale para instruções que pedem abertura do PowerShell ou Terminal para realizar “verificação humana”, “corrigir erro do navegador”, “atualizar certificado”, “resolver CAPTCHA” ou “restaurar acesso”.
Esse comportamento é atualmente um forte indicador de ClickFix.
Empresas precisam detectar comportamento, não apenas malware
A campanha também mostra por que controles baseados exclusivamente em reputação de domínio possuem limitações.
Bloquear chatgpt.com simplesmente porque criminosos conseguem abusar de conteúdo compartilhado dificilmente seria uma resposta proporcional para organizações que utilizam IA generativa.
Uma estratégia melhor combina reputação com análise comportamental.
EDR/XDR pode observar processos incomuns iniciados após interação com navegador.
PowerShell iniciado pelo explorer.exe ou por mecanismos associados à caixa Run, seguido imediatamente por conexões externas e criação de arquivos, merece atenção.
Logs de PowerShell, especialmente Script Block Logging, podem fornecer evidências adicionais.
DNS, proxy, firewall e Secure Web Gateway também podem identificar conexões posteriores com domínios recém-registrados ou destinos incompatíveis com a atividade esperada.
A correlação entre essas fontes é mais poderosa do que qualquer indicador isolado.
SOCs devem procurar a sequência completa
Para equipes de segurança, o valor da campanha está principalmente na cadeia comportamental.
Uma investigação pode considerar navegação originada de publicidade ou mecanismos de busca, acesso a páginas compartilhadas de serviços legítimos, transição para domínio recém-registrado, execução de PowerShell, comunicação com serviços externos, criação de processos ocultos, downloads subsequentes e instalação de ferramentas de acesso remoto.
Individualmente, vários desses eventos podem ser legítimos.
Juntos, contam uma história completamente diferente.
Os pesquisadores também recomendam examinar artefatos relacionados ao histórico da caixa Executar do Windows e manter telemetria suficiente para reconstruir a atividade mesmo quando o malware tenta apagar vestígios locais.
Segurança de IA também precisa considerar o ecossistema ao redor da IA
É tentador classificar essa campanha como um problema específico do ChatGPT.
Seria uma interpretação limitada.
O mecanismo pode ser reproduzido em qualquer plataforma confiável que permita publicação, compartilhamento ou hospedagem de conteúdo controlado por usuários.
O crescimento da IA apenas acrescentou uma nova categoria de marcas nas quais pessoas depositam confiança e pelas quais procuram downloads, extensões, documentação, agentes, plugins, ferramentas e soluções para problemas.
Isso cria uma oportunidade econômica para criminosos.
O relatório 2026 Global Threat Report, da CrowdStrike, já descreve ameaças que exploram o interesse público e a confiança em plataformas de inteligência artificial. Entre os exemplos mencionados está a utilização de malvertising associado a links compartilhados do ChatGPT para distribuir malware.
A tendência, portanto, merece ser observada como parte da superfície de ataque de IA.
A lição não é desconfiar do ChatGPT — é verificar a cadeia inteira
Nada nas evidências analisadas indica que criminosos tenham comprometido a infraestrutura do ChatGPT para realizar esta campanha.
O que foi comprometido foi o modelo mental de confiança do usuário.
Uma página legítima conduz a uma recomendação falsa.
A recomendação conduz a um domínio malicioso.
O domínio apresenta uma verificação aparentemente familiar.
A verificação convence o usuário a executar um comando.
O comando instala o acesso remoto.
É uma cadeia tecnicamente eficiente justamente porque cada pequena decisão parece razoável quando analisada isoladamente.
Por isso, o indicador mais importante não está apenas no endereço inicial.
Está na sequência de confiança que o atacante constrói até transformar o próprio usuário no mecanismo de execução.
À medida que plataformas de inteligência artificial passam a integrar o cotidiano profissional, organizações precisarão ampliar seus modelos de ameaça.
Não basta perguntar se uma plataforma de IA é segura.
Também será necessário perguntar como a confiança nessa plataforma pode ser utilizada por terceiros para tornar um ataque mais convincente.
Referências
- GBHackers — Hackers Abuse Legitimate ChatGPT Shared Links to Deploy NetSupport RAT
- Joe Sandbox / Joe Reverser — Malware Analysis
- OpenAI — ChatGPT Shared Links
- OpenAI — ChatGPT Generated Links
- eWeek — ChatGPT Share Links Abused Through Real OpenAI URLs
- CERT Azerbaijan — Malware campaign abusing ChatGPT shared links detected
- CrowdStrike — 2026 Global Threat Report
Clique e fale com representante oficial Sophos
Veja também:
- Infostealers roubam sessões do Claude e permitem sequestro de contas mesmo com MFA
- Principais ataques cibernéticos no Brasil em agosto de 2026: ransomware, invasões e vazamentos
- Orçamento de Cibersegurança no Brasil: como a IA está mudando os investimentos
- Privacidade deixou de ser apenas uma obrigação legal
- O excesso de alertas está tornando as empresas mais vulneráveis?
- Aumento do “Shadow AI” no Brasil
- O excesso de alertas está tornando as empresas mais vulneráveis?
- Além do isolamento da chave privada
- Cibersegurança: de despesa a estratégia de crescimento
- IA a serviço do crime?
- Shadow AI: 3 medidas para reduzir o risco de cibersegurança
- O maior risco para os sistemas industriais não é a computação quântica, e sim esperar por ela
- Milhares de credenciais AWS vazadas continuam ativas
- Seu funcionário saiu do escritório. Seus dados foram junto?
- Falha CVSS 10 no Microsoft Entra ID permitia execução remota de código
- Ransomware em 2026: 79% dos ataques começam com identidades comprometidas
- Identidade descentralizada: DIDs e credenciais verificáveis entram no radar dos CISOs
Be the first to comment