Am 29. September 2026 hat Huntress eine Kampagne dokumentiert, bei der Angreifer über bezahlte Google-Werbung einen bösartigen Custom GPT auf der Domain chatgpt.com bewerben, der Nutzer zu einer Google-Sites-Seite leitet, die eine PowerShell-Anweisung als „Cloudflare-Check" ausgibt. Wer die Anweisung ausführt, installiert über eine Infektionskette mit acht Stufen einen Remote Access Trojan (RAT). BleepingComputer berichtet, dass OpenAI den ersten Custom GPT am 25. September entfernt hat – zwei Tage später fanden die Forscher bereits einen zweiten, der zum Zeitpunkt der Veröffentlichung noch online war.

Für einen Betrieb mit zehn bis hundert Mitarbeitern ist das relevant, weil der Einstiegspunkt keine Phishing-Mail ist, sondern eine Suchanfrage, die ein Mitarbeiter im Alltag stellt: „chatgpt" eingeben, auf den ersten Treffer klicken. Der Custom GPT trägt den Namen „Plus 5.6" und sieht auf der legitimen chatgpt.com-Domain aus wie ein normales Modell. Wer dann der Anweisung folgt, eine PowerShell-Zeile in das Terminal zu kopieren, hat den Trojaner bereits auf dem Rechner. Der RAT kann auf den Desktop zugreifen, Audio und Kamera aufnehmen, Dateien durchsuchen und weitere Payloads ausführen. Für eine Kanzlei oder eine Praxis heißt das: Mandatsakten, Patientendaten, interne Dokumente – alles ist erreichbar. Im schlechtesten Fall wird der Rechner zum Sprungbrett für weitere Angriffe im Netzwerk.

Die Infektionskette im Detail

Die PowerShell-Anweisung lädt ein obfuskiertes Skript herunter und installiert still eine bösartige MSI (ISOSimple.msi) über msiexec /qn /norestart. Diese MSI gibt sich als „Advanced Printer Configuration Reader" des Publishers „Softplicity" aus und installiert in %LOCALAPPDATA%\Programs\. Die Einstellung ARPSYSTEMCOMPONENT=1 verbirgt das Paket in „Programme und Funktionen". Der eigentliche Trick: Die MSI startet die legitime, von Canon signierte Anwendung COTFileReadApp.exe, die ihrerseits eine DLL namens ceiinfolog.dll lädt. Diese DLL ist eine modifizierte Canon-Bibliothek, deren Signatur entfernt wurde und die in ihrer Import-Tabelle rdCore.dll auflistet – eine DLL, die eine Logging-Bibliothek in keiner Weise braucht. Über dieses DLL-Sideloading wird die nächste Stufe geladen, die einen Loader aus einer .wav-Datei extrahiert. Der Loader entschlüsselt dann den RAT aus einem selbstgebauten, verschlüsselten Dateisystem mit 1.128 Einträgen. Huntress beschreibt die Struktur so: „Instead of one encrypted blob, it's a custom archive with its own folder tree, basically a homemade, encrypted zip file" – also ein selbstgebautes, verschlüsseltes Archiv mit eigenem Verzeichnisbaum, Header, Index und dahinter gepackten Dateiinhalten. Für Persistenz legt die Malware einen Run-Key und eine geplante Aufgabe an, beide mit dem Namen „Canon Configuration Reader". In einer späteren Welle wurde die Canon-Binärdatei durch eine von Stardock signierte ersetzt (DeElevate64.exe), die geplante Aufgabe hieß dann „Stardock DeElevation Tool". Der Server, von dem das Skript geladen wird, ist als Dezimalzahl (1614733393) statt als Punkt-IP notiert – URL-Filter, die auf Punkt-IP-Adressen prüfen, sehen ihn nicht.

Was jetzt zu tun ist

1. Prüfen, ob auf den Arbeitsplätzen PowerShell-Einschränkungen tatsächlich greifen: Standardbenutzer sollten nicht in der Lage sein, PowerShell mit -ExecutionPolicy Bypass zu starten. Der Win+R-Dialog sollte für Standardbenutzer gesperrt sein, und die Gruppenrichtlinie für PowerShell Constrained Language Mode aktiviert.
2. In den Windows-Logs (Sysmon, PowerShell-Transkripte) nach diesen Mustern suchen: PowerShell, das msiexec.exe aufruft; eine signierte Anwendung, die aus einem ungewöhnlichen Unterordner von %LOCALAPPDATA%\Programs\ gestartet wird; ein Run-Key oder eine geplante Aufgabe namens „Canon Configuration Reader" oder „Stardock DeElevation Tool", die nach dem Löschen wieder auftaucht.
3. Mitarbeiter kurz darauf hinweisen, dass keine legitime Website, kein CAPTCHA und keine „Reparaturanleitung" sie bitten wird, eine Zeile in das Terminal oder die PowerShell zu kopieren. Wer das tut, handelt nicht aus Unwissenheit, sondern aus Nachlässigkeit – und genau dort setzt die Kampagne an.

Das Ärgerliche an dieser Kampagne: Sie braucht keine Schwachstelle, kein Zero-Day, keine Lücke in der Firewall. Sie braucht nur einen Menschen, der „chatgpt" in die Suchleiste tippt und dem ersten Treffer vertraut. OpenAI hat angekündigt, Custom GPTs am 11. Dezember abzuschalten – bis dahin bleibt die Tür offen. Wer unsicher ist, ob die eigenen PowerShell-Einschränkungen noch die sind, die man vor zwei Jahren gesetzt hat, kann uns gern einmal durch die eigene Policy-Konfiguration schauen lassen: Kontakt.

Beitragsbild: Polina Zimmerman auf Pexels