Des hackers abusent de liens ChatGPT et d'un faux CAPTCHA Cloudflare pour déployer NetSupport RAT

🗓️ Contexte

Source : Cyber Press, publié le 1er septembre 2026. L’article décrit une campagne active de distribution de NetSupport RAT exploitant des mécanismes de confiance basés sur des plateformes légitimes.

🎯 Mécanisme d’attaque

Les attaquants utilisent des pages de conversation partagées ChatGPT légitimes (chatgpt.com) comme premier vecteur de confiance. Ces pages affichent un message indiquant que ChatGPT subit un trafic élevé et redirigent les victimes vers un site externe malveillant : openai-backup.one.

Ce site usurpe l’identité d’OpenAI, Cloudflare et Google, et présente une fausse page de vérification humaine de type CAPTCHA. Cette étape constitue une technique ClickFix classique : la prétendue vérification place en réalité une commande PowerShell malveillante dans le presse-papiers, que la victime est invitée à exécuter manuellement.

🔗 Chaîne d’infection multi-étapes

1. Étape 1 – Loader PowerShell initial : récupère et exécute un script depuis brmconfig.com, masque la fenêtre console, effectue des vérifications système.
2. Étape 2 – Collecte d’informations : nom de machine, nom d’utilisateur, version Windows, architecture CPU, statut administrateur, IP publique, localisation, FAI, fuseau horaire. Ces données sont exfiltrées vers un chat Telegram contrôlé par l’attaquant.
3. Étape 3 – Téléchargement du payload : un fichier video.mp4 est téléchargé depuis brmconfig.com. Malgré son extension, il contient un payload PowerShell chiffré dans une boîte UUID MP4 personnalisée, déchiffré par XOR à clé répétée puis décompressé via GZip.
4. Étape 4 – Déploiement de NetSupport RAT : le payload déchiffré contient un bundle de 20 fichiers dont app.EXe (client NetSupport), des DLL, fichiers de configuration, de licence et binaires. L’exécutable est signé numériquement par NetSupport Ltd.

🧹 Activités de nettoyage

• Suppression des scripts temporaires
• Effacement des entrées du registre Windows RunMRU pour masquer les commandes exécutées via la boîte de dialogue Exécuter

🔬 Classification

Joe Sandbox a indépendamment classifié le hash de app.EXe comme malveillant dans ce contexte de campagne et l’a identifié comme NetSupport RAT.

📌 Type d’article

Analyse technique d’une campagne active de distribution de malware, visant à documenter la chaîne d’infection complète et les indicateurs associés pour les équipes SOC et CTI.

🧠 TTPs et IOCs détectés

TTP

• T1566.002 — Phishing: Spearphishing Link (Initial Access)
• T1204.002 — User Execution: Malicious File (Execution)
• T1059.001 — Command and Scripting Interpreter: PowerShell (Execution)
• T1027 — Obfuscated Files or Information (Defense Evasion)
• T1027.002 — Obfuscated Files or Information: Software Packing (Defense Evasion)
• T1113 — Screen Capture (Collection)
• T1082 — System Information Discovery (Discovery)
• T1033 — System Owner/User Discovery (Discovery)
• T1614 — System Location Discovery (Discovery)
• T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
• T1105 — Ingress Tool Transfer (Command and Control)
• T1112 — Modify Registry (Defense Evasion)
• T1070.004 — Indicator Removal: File Deletion (Defense Evasion)
• T1588.002 — Obtain Capabilities: Tool (Resource Development)
• T1608.004 — Stage Capabilities: Drive-by Target (Resource Development)

IOC

• Domaines : openai-backup.one — VT · URLhaus · ThreatFox
• Domaines : brmconfig.com — VT · URLhaus · ThreatFox
• Fichiers : app.EXe
• Fichiers : video.mp4

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 1 septembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

• NetSupport RAT (rat)

🟢 Indice de vérification factuelle : 82/100 (haute)

• ✅ cyberpress.org — source reconnue (Rösti community) (20pts)
• ✅ 3447 chars — texte complet (fulltext extrait) (15pts)
• ✅ 4 IOCs (IPs/domaines/CVEs) (10pts)
• ✅ 2/2 IOCs confirmés (ThreatFox, URLhaus, VirusTotal) (12pts)
• ✅ 15 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

• openai-backup.one (domain) → VT (17/91 détections)
• brmconfig.com (domain) → VT (7/91 détections)

🔗 Source originale : https://cyberpress.org/chatgpt-links-spread-netsupport-rat/