🔍 Contexte

Publié le 29 mai 2026 par Push Security, cet article de recherche documente une campagne active baptisée LLMShare, qui exploite les fonctionnalités de partage de contenu des plateformes d’IA conversationnelle ChatGPT (chatgpt.com) et Claude (claude.ai) pour distribuer des malwares ciblant les utilisateurs macOS et Windows.

🎯 Technique d’attaque

Les attaquants exploitent la confiance implicite accordée aux domaines chatgpt.com et claude.ai par les outils de réputation d’URL et les utilisateurs :

  • Variante ChatGPT : utilisation de la fonctionnalité de rendu de code de ChatGPT pour créer une fausse page HTML/CSS hébergée sur une URL chatgpt.com/s/, imitant un message de perturbation de service (“high traffic”), invitant la victime à télécharger une application desktop malveillante.
  • Variante Claude : conversations partagées sur claude.ai déguisées en guides d’installation “Claude Code on Mac”, attribuées faussement à “Apple Support”, contenant une commande curl malveillante à coller dans le terminal.
  • Le trafic est acheminé via des publicités sponsorisées (malvertising) sur les moteurs de recherche, ciblant des termes comme “chatgpt”, “chatgpt free” et des fautes de frappe courantes.

🔗 Chaîne d’infection

  1. L’utilisateur clique sur une publicité malveillante dans les résultats de recherche.
  2. Il est redirigé vers une URL légitime chatgpt.com/s/ affichant une fausse page de perturbation.
  3. Le bouton de téléchargement redirige vers openew[.]app, un clone convaincant de la page de téléchargement officielle de ChatGPT.
  4. Le site applique un rendu conditionnel : les scanners automatisés voient un site AR/VR générique, les vrais utilisateurs voient la fausse page.
  5. L’exécutable téléchargé se fait passer pour “ChatGPT for Desktop” et est détecté sur VirusTotal.

🌐 Contexte élargi : abus de plateformes légitimes

L’article s’inscrit dans une tendance documentée d’abus massif de plateformes légitimes :

  • Livraison : Amazon SES, Google AppSheet, Microsoft notification pipeline
  • Hébergement : GitHub Pages, Vercel, Azure Blob Storage, Cloudflare Workers, Cloudflare R2, Backblaze B2, Supabase
  • Sites compromis : exploitation d’une vulnérabilité Ghost CMS sur 700+ sites (Harvard, Oxford, DuckDuckGo)
  • Campagnes parallèles : AMOS via ChatGPT (documenté par Kaspersky), DinDoor backdoor et RAT Deno via GitHub/SourceForge

📊 Famille de techniques

Ces attaques sont classifiées comme InstallFix, une variante de la famille ClickFix, exploitant la normalisation des workflows d’installation en ligne de commande par les outils IA.

📄 Nature de l’article

Il s’agit d’une publication de recherche par Push Security, documentant une campagne active avec des IOCs, une analyse technique détaillée et la présentation d’une nouvelle détection (LLMShare) déployée dans leur produit.

🧠 TTPs et IOCs détectés

TTP

  • T1566 — Phishing (Initial Access)
  • T1608.005 — Stage Capabilities: Link Target (Resource Development)
  • T1583.001 — Acquire Infrastructure: Domains (Resource Development)
  • T1036 — Masquerading (Defense Evasion)
  • T1204.002 — User Execution: Malicious File (Execution)
  • T1059.004 — Command and Scripting Interpreter: Unix Shell (Execution)
  • T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
  • T1608.006 — Stage Capabilities: SEO Poisoning (Resource Development)

IOC

  • Domaines : openew.app — VT · URLhaus · ThreatFox
  • URLs : https://claude.ai/share/8e6401b5-4849-46c4-a3cb-29e1c3c49131 — URLhaus
  • URLs : https://chatgpt.com/s/cb_6a0f1e6bbec88191aa7fede27163f08d — URLhaus
  • SHA256 : de8c50e8ccd240ef9d10ec26c26eeb37a4d1cad7c1e0edf3bb6e5689ec2dde78 — VT · MalwareBazaar

Malware / Outils

  • AMOS (Atomic macOS Stealer) (stealer)
  • DinDoor (backdoor)
  • Deno-based RAT (rat)

🟡 Indice de vérification factuelle : 62/100 (moyenne)

  • ⬜ pushsecurity.com — source non référencée (0pts)
  • ✅ 16500 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 4 IOCs (IPs/domaines/CVEs) (10pts)
  • ✅ 2/4 IOCs confirmés (MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (12pts)
  • ✅ 8 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • de8c50e8ccd240ef… (sha256) → VT (11/76 détections)
  • openew.app (domain) → VT (17/91 détections)

🔗 Source originale : https://pushsecurity.com/blog/llmshare-malvertising-campaign/