Grok e Copilot usati per il controllo remoto dei malware

I ricercatori di Check Point Research hanno scoperto che Grok e Microsoft Copilot possono essere usati come server C2 (command-and-control). I cybercriminali sfruttano in pratica le funzionalità di web browser e URL fetching dei chatbot per inviare comandi e ricevere i dati rubati dai dispositivi delle vittime.

Chatbot come server di controllo per malware

I chatbot AI vengono sempre più spesso utilizzati come aiuto durante gli attacchi informatici, ad esempio per scrivere email di phishing e generare codice. Gli esperti di Check Point Research hanno dimostrato che Grok e Copilot permettono di recuperare un URL attraverso le rispettive interfacce web e ricevere i dati rubati, senza chiavi API o account.

Solitamente è necessario realizzare una specifica infrastruttura composta da numerosi server per effettuare attacchi su larga scala. In molti casi vengono sfruttati servizi popolari, come Gmail, Dropbox e Telegram. Questi canali di comunicazione possono però essere interrotti, revocando le chiavi API o chiudendo gli account. Nel caso delle interfacce web di Grok e Copilot non c’è nessuna chiave da revocare o account da bloccare.

I ricercatori hanno dimostrato il funzionamento dell’attacco sfruttando il componente WebView2 di Windows 11 che mostra contenuti web nelle app desktop (in pratica è un browser senza barre di navigazione, strumenti e altri elementi). Hanno quindi creato un programma C++ che aggiunge l’URL al sito fake, apre una finestra WebView con link a Grok o Copilot e chiede ai chatbot di generare il riassunto del contenuto web.

Nella pagina web sono stati nascosti i comandi che il chatbot eseguirà sul computer della vittima, tra cui quello che consente il furto dei dati. Sia Grok che Copilot hanno protezioni che bloccano questo tipo di comunicazioni, ma possono essere aggirate cifrando comandi e dati.

Check Point Research ha inviato a xAI e Microsoft i risultati della ricerca. Questa è la dichiarazione inviata da un portavoce di Microsoft a Bleeping Computer:

Ringraziamo Check Point Research per aver identificato e segnalato responsabilmente questo proof of concept. Come con qualsiasi dispositivo compromesso, gli aggressori possono tentare di comunicare utilizzando una varietà di servizi disponibili, inclusi quelli basati sull’intelligenza artificiale. Consigliamo agli utenti di implementare pratiche di sicurezza di difesa approfondita, progettate per aiutare a prevenire l’infezione iniziale da malware e ridurre l’impatto delle attività successive alla compromissione.