ChatGPTのカスタムGPTを悪用したRAT感染攻撃が判明、Google検索広告や偽CAPTCHAを組み合わせ少なくとも40人が被害

要点

• ChatGPTのカスタマイズ機能「Custom GPTs」が悪用され、正規サービスを装ってマルウェアを配布する手口が確認された。

• 攻撃者はGoogle検索広告から正規ドメイン上のCustom GPTへ誘導し、利用制限を騙って外部サイトへアクセスさせていた。

• 誘導先の外部サイトでは偽のCAPTCHA画面を用いた「ClickFix」攻撃により、PowerShellコマンドを実行させていた。

• 被害端末には多機能なRAT（リモートアクセス型トロイの木馬）が感染し、画面や音声の監視、ファイル探索などが可能になる。

• セキュリティ企業のHuntressによると、すでに少なくとも40人のユーザーで感染が確認されている。

• セキュリティ企業のHuntressは2026年9月下旬、OpenAIが提供するChatGPTのカスタマイズ機能「Custom GPTs」が悪用され、遠隔操作マルウェアが配布されている事象を確認したと発表した。攻撃者はGoogle検索広告や正規のChatGPTドメインを組み合わせ、利用者を騙して悪意あるスクリプトを実行させていたという。同社によると、この一連の攻撃によって少なくとも40人のユーザーが感染被害に遭っていることが判明している。

検索広告と正規のChatGPTドメインを悪用した初期誘導

今回の攻撃では、ChatGPTのカスタマイズ機能である「Custom GPTs（ユーザーが独自の指示やファイルを設定して特定の用途向けに作成できる機能）」が悪用された。Custom GPTsは正規のChatGPTウェブサイト上でホストされ、画面上部に対象の名称が表示される仕様となっている。

攻撃の起点となったのは、「chatgpt」などのキーワードで検索した際に表示されるGoogleのスポンサード検索結果（検索連動型広告）である。利用者がこの広告をクリックすると、攻撃者が作成した「Plus 5.6」という名称のCustom GPTへと誘導される。確認されたCustom GPTのURLは「chatgpt[.]com/g/g-6ab595ad6554819181b686d4876efb80-plus-5-6」および「chatgpt[.]com/g/g-6ab6ba039440819185ed491740b11cf8-plus-5-6」の2件である。

このCustom GPTにプロンプトを入力すると、「Service Availability Notice（サービス利用状況のお知らせ）」というメッセージが返される。メッセージには「プライマリドメインでの提供が制限されているため、サブスクリプションをアップグレードするか、バックアップのGoogle Sitesドメインへアクセスしてください」と記載されており、「即座にアクセスが必要な場合はバックアップドメインの利用を推奨する」として、Google Sites上に用意された外部サイトへと誘導していた。

偽のCAPTCHA検証でコマンドを実行させる「ClickFix」攻撃

誘導先のGoogle Sitesでは、Cloudflareの認証を装った偽のCAPTCHA画面が表示される。ここでは「ClickFix（認証やエラー修復を装い、ユーザー自身にコマンドをコピー＆ペーストさせて実行させる手口）」が用いられていた。

利用者が画面の指示に従うと、悪意あるPowerShellコマンドがクリップボードにコピーされ、それを端末上で実行してしまう。このPowerShellコマンドによって「ISOSimple.msi」という名称のMSIインストーラーがダウンロードされ、実行される仕組みとなっていた。

正規バイナリや音声ファイルを用いた多段階の検知回避

インストーラーが起動した後は、多段階にわたる巧妙な検知回避処理とローダーの読み込みが行われる。

まず、キヤノン製の正規署名付き実行ファイル「COTFileReadApp.exe」が悪用され、改ざんされたキヤノン製DLL「ceiinfolog.dll」を読み込む「DLLサイドローディング（正規プログラムの読み込み手順を悪用して不正なファイルを読み込ませる手法）」が実行される。このDLLはさらに「rdCore.dll」という未署名の第2のDLLをロードする。

続いて「rdCore.dll」は、「Common.Integrator.Preview.wav」というWAV音声ファイルの中から、暗号化されたローダーシェルコードを抽出する。音声ファイルなどのメディアファイル内にマルウェアの構成要素を隠蔽する手法は、過去に「Octowave Loader」などの攻撃キャンペーンでも確認されている。

抽出されたローダーは、暗号化されたファイルシステム「monitor.raw」からトロイの木馬本体と永続化スクリプトを展開する。この展開に先立ち、Windowsのマルウェア検査機能であるAMSI（Antimalware Scan Interface）の迂回や、「ntdll.dll」のアンフッキングによるセキュリティソフトのユーザーモード監視の回避が行われる。さらに、CPUベンダー文字列を照合し、VMware、VirtualBox、Hyper-V、QEMU、Xen、Parallelsなどの仮想環境が動作していないかを確認するアンチVM処理も組み込まれていた。

感染端末を広範に監視・操作するRATの機能とDoH通信

最終的に被害端末へ侵入するマルウェアは、広範な監視・操作機能を持つRAT（遠隔から端末を不正操作するトロイの木馬）である。

このRATは、導入されているウイルス対策ソフトやMicrosoft Defenderの動作状況、システム構成情報を収集する。また、画面のリアルタイム配信やリモートデスクトップセッションの確立に加え、端末のカメラ入力、マイク音声、システム音声のキャプチャを行う能力を持つ。さらに、17種類のWebブラウザを認識して既定ブラウザを起動できるほか、内蔵されたファイルマネージャー機能によってシステム全体のファイル内容を検索することも可能である。必要に応じて、実行ファイル（.EXE、.DLL、.MSI）や各種スクリプト（PowerShell、バッチファイル、VBScript、JavaScript）などの二次ペイロードを投下して実行する機能も備えている。

C2（指令統制）サーバーとの通信においては、内部文字列で「Gate」と呼ばれる接続先を探索するために、Cloudflare、Google、Quad9のサーバーを経由したDoH（DNS-over-HTTPS：DNS問い合わせを暗号化されたHTTPS上で行う技術）を使用していた。正規のリゾルバ宛てのHTTPSトラフィックに通信が紛れ込むため、端末やローカルネットワークのDNSログには接続記録が残らない設計となっている。

信頼されたAIプラットフォーム機能を標的とする攻撃の背景

Huntressによると、信頼されたAIプラットフォームの機能を悪用するサイバー攻撃は今回の事例に限らない。過去のキャンペーンにおいても、AIチャットボットの共有会話機能や、AnthropicのClaudeにおける「Claude Artifacts」機能が悪用され、情報窃取型マルウェアやRATが拡散された事例が確認されている。正規のAIサービスが持つ信頼性やドメインの信用を悪用し、セキュリティ製品や利用者の警戒をすり抜ける手口が継続的に確認されている状況だ。