TrojanSpy.JS.CHATGPTSTEALER.A

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、ワーム活動の機能を備えていません。

スパイウェアは、バックドア活動の機能を備えていません。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

感染活動

スパイウェアは、ワーム活動の機能を備えていません。

バックドア活動

スパイウェアは、バックドア活動の機能を備えていません。

ルートキット機能

スパイウェアは、ルートキット機能を備えていません。

情報漏えい

スパイウェアは、以下の情報を収集します。

• System Information:
  • Victim UUID
  • Browser tab URLs
  • Tab activation timestamps
  • Page load timestamps
• ChatGPT Conversation Data:
  • Complete conversation histories
  • User questions
  • AI-generated answers
  • Session identifiers
• Browser Activity:
  • All visited URLs
  • Tab switching activity
  • Page navigation events
  • Real-time browsing patterns

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• https://{BLOCKED}s.com/ext/aimodel

その他

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• https://{BLOCKED}s.com/ext/chatstatus

スパイウェアは、以下を実行します。

• It stores the following data disguised as a legitimate ChatGPT-related code in Chrome local storage:
  • GPT Chat ID → Victim UUID for tracking
  • GPT Flag Value → Master enable/disable flag
  • Timestamp → Last exfiltration timestamp
  • Save Stored Data → Browsing data buffer (base64-encoded)
  • GPT Content → ChatGPT conversation buffer (base64-encoded)
• It uses extension persistence hook to initialize the malware on first install or update, generating a victim UUID and sending an installation beacon to the C2 server.
• It monitors all browser tab activity in real-time.
• It exfiltrates data every 30 minutes via POST requests.
• It clears local storage after successful exfiltration.
• It uses debounced callbacks to avoid detection.

マルウェアは、脆弱性を利用した感染活動を行いません。

<補足>
情報漏えい

スパイウェアは、以下の情報を収集します。

• システム情報：
  • 被害者のUUID（汎用一意識別子）
  • ブラウザタブのURL
  • タブのアクティブ化に関するタイムスタンプ
  • Webページ読み込み時に関するタイムスタンプ
• ChatGPTとの会話内容：
  • 完全な会話履歴
  • ユーザの質問内容
  • AIが生成した回答
  • セッション識別子
• ブラウザのアクティビティ：
  • 訪問したすべてのURL
  • タブ切り替えアクティビティ
  • Webページのナビゲーションイベント
  • リアルタイムの閲覧パターン

その他

スパイウェアは、以下を実行します。

• ChatGPT関連の正規コードを偽装して、以下のデータをChromeのローカルストレージ内に保存します。
  • GPT Chat ID → 追跡用の被害者UUID
  • GPT Flag Value → マスターの有効化/フラグの無効化
  • Timestamp → 最後に情報を外部送出した際のタイムスタンプ
  • Save Stored Data → 閲覧データに対するバッファ（base64でエンコードされている）
  • GPT Content → ChatGPTとの会話に対するバッファ（base64でエンコードされている）
• 拡張機能のpersistence hookを使って不正プログラムを初期化した後（最初のインストールまたは更新時）、被害者のUUIDを生成して、インストール通知（ビーコン）をC&Cサーバに送信します。
• すべてのブラウザタブのアクティビティをリアルタイムで監視します。
• POSTリクエストを介して30 分毎にデータを外部に送出させます。
• データを外部に送出した後、ローカルストレージを消去します。
• 検出を回避するために、デバウンスされたコールバックを用います。