Huntress dévoile les pièges cachés de Claude, ChatGPT et Grok

Huntress documente l’attaque. Pendant neuf mois, le centre des opérations de sécurité de Huntress a suivi des incidents exploitant des fonctions publiques de plateformes d’IA. Les attaquants ont utilisé des contenus partageables, des mini-applications publiques et des placements sponsorisés dans les moteurs de recherche. Leur cible principale n’était pas la sécurité des entreprises d’IA ni leurs modèles. Ils détournaient plutôt les fonctions que les utilisateurs connaissent déjà. Les liens semblaient légitimes, car ils restaient hébergés sur les domaines de Claude, ChatGPT ou Grok. Huntress indique que ces campagnes pouvaient durer seulement quelques heures ou quelques jours avant leur retrait. Ce délai suffisait toutefois à piéger des utilisateurs.

Les fonctions deviennent des leurres. Claude Artifacts permet de publier un contenu généré dans un volet de prévisualisation et de le partager par lien public. Les URL claude.ai/share peuvent aussi apparaître dans les moteurs de recherche lorsqu’elles sont publiées sur des forums ou des réseaux sociaux. ChatGPT et Grok hébergent également des conversations partageables et indexables. Ces mécanismes créent une frontière de confiance autour de la page. La marque, le domaine et la présentation habituelle rassurent les visiteurs. Les instructions malveillantes ou les téléchargements paraissent alors crédibles. Huntress recommande de signaler rapidement les contenus suspects au fournisseur concerné.

FakeAgent vise les utilisateurs de Claude

FakeAgent touche 29 organisations. En juillet, Huntress a observé une campagne appelée FakeAgent visant plus de 29 organisations. Les attaquants avaient hébergé un faux téléchargement de Claude Desktop dans un Claude Artifact accessible sur le domaine claude.ai. La page imitait une installation légitime et ciblait les recherches Bing consacrées à l’application de bureau Claude. Après le clic, les victimes étaient redirigées vers un domaine externe. Celui-ci distribuait le logiciel malveillant SectopRAT. Huntress a signalé l’Artifact, puis Anthropic l’a supprimé le 22 juillet. Des incidents liés au même domaine de redirection ont toutefois continué pendant le mois d’août. L’analyse de Huntress détaille cette campagne.

Un guide Apple distribue MacSync. Lors d’un autre incident, une recherche Google sur « Claude on Mac » a affiché un résultat sponsorisé. Le lien menait vers une conversation claude.ai/share présentée comme un guide d’installation Apple Support. Le domaine Anthropic ne comportait ni adresse imitée ni avertissement de certificat. Le faux guide demandait de coller une commande curl dans le Terminal. Cette action déclenchait une chaîne en six étapes et installait le voleur MacSync. Le programme récupérait des cookies, des identifiants, des secrets du trousseau, des sessions Telegram, ainsi que des clés SSH et des clés infonuagiques. Huntress décrit la chaîne MacSync.

ChatGPT et Grok relaient ClickFix. En décembre, une recherche sur « clear disk space on macOS » a fait apparaître des conversations ChatGPT et Grok parmi les premiers résultats. Ces pages publiques donnaient des instructions de type ClickFix au lieu d’une solution réelle. Les attaquants avaient créé les conversations, utilisé la fonction de partage, puis employé un référencement frauduleux pour pousser les URL dans Google. Les domaines chatgpt.com et grok.com ont renforcé la confiance des victimes. Celles-ci exécutaient les commandes Terminal proposées et déclenchaient la livraison du voleur AMOS. Huntress conseille de limiter l’exécution de scripts depuis le presse-papiers et d’appliquer une liste d’applications autorisées.