【奇安信】ChatGPT移动应用程序威胁分析报告2023

核心结论

【奇安信】ChatGPT移动应用程序威胁分析报告2023 ## 报告主旨 本报告由奇安信威胁情报中心发布，聚焦于2022年12月ChatGPT正式发布后，随之而来的仿冒ChatGPT移动应用程序（APP）恶意软件泛滥问题。

关键数据：# 【奇安信】ChatGPT移动应用程序威胁分析报告2023 ## 报告主旨 本报告由奇安信威胁情报中心发布，聚焦于2022年12月ChatGPT正式发布后，随之而来的仿冒ChatGPT移动应用程序（APP）恶意软件泛滥问题。

核心数据表

AI 结构化摘要

【奇安信】ChatGPT移动应用程序威胁分析报告2023

报告主旨

本报告由奇安信威胁情报中心发布，聚焦于2022年12月ChatGPT正式发布后，随之而来的仿冒ChatGPT移动应用程序（APP）恶意软件泛滥问题。报告指出，截至2023年，奇安信已捕获超过1170个仿冒ChatGPT的恶意APP样本，其中约51%为高危恶意应用，73%的样本携带已知恶意软件家族特征。报告重点分析了以DogeRat为代表的远控木马（RAT）如何伪装成ChatGPT应用窃取用户隐私，并提供了详细的技术分析、攻击路径及防御建议，旨在帮助用户识别和防范此类移动端安全威胁。

仿冒ChatGPT恶意APP概况

• 自2022年12月ChatGPT发布以来，奇安信累计捕获仿冒ChatGPT的恶意APP样本1170余个，其中51%被判定为高危恶意应用，73%的样本与已知恶意软件家族存在关联。
• 攻击者利用用户对ChatGPT的高度关注，通过第三方应用商店、社交平台等渠道分发仿冒应用，诱导用户下载安装。
• 仿冒APP主要伪装成“ChatGPT官方版”“ChatGPT Plus”等名称，部分样本还伪装为“OpenAI”“Telegram”等知名品牌应用，以降低用户警惕性。
• 恶意样本覆盖Android和iOS两大移动平台，其中Android平台为主要攻击目标，占比超过90%。

恶意软件家族与攻击手法

• 报告重点分析了DogeRat远控木马家族，该家族样本在仿冒ChatGPT恶意APP中占比最高，具备完整的远程控制能力。
• DogeRat支持超过63种远程控制指令，包括但不限于：窃取短信、通讯录、GPS定位、设备信息，调用摄像头（前置/后置）进行拍照，录音，截取剪贴板内容，以及向所有联系人群发恶意短信等。
• 恶意APP通过动态加载Dex文件、代码混淆、反调试等技术手段规避安全检测，部分样本还具备自我更新和卸载对抗能力。
• 攻击者通过C&C（命令与控制）服务器远程下发指令，实现对受害者设备的完全控制，并窃取敏感数据回传至攻击者服务器。

恶意行为链与技术细节

• 仿冒ChatGPT APP的恶意行为链可分为五个阶段：诱导下载、安装执行、权限申请、C&C通信、数据窃取与远程控制。
• 恶意APP在安装后通常申请大量敏感权限，包括短信读取、通讯录访问、定位、麦克风、摄像头、存储读写等，远超正常ChatGPT应用所需权限范围。
• 样本中发现的C&C服务器地址包括chatgpt-j7[.]com、jagerrat[.]com等，部分C&C服务器同时托管多个恶意样本，形成规模化攻击基础设施。
• 报告披露了超过70个恶意样本的MD5哈希值，供安全社区进行威胁狩猎和IOC匹配。

防御建议与安全提示

• 用户应仅从官方应用商店（如Google Play、Apple App Store）下载应用，避免从第三方渠道或不明链接安装APP。
• 安装应用时仔细审查权限申请，对申请与功能无关的敏感权限（如短信、通讯录、定位等）的应用保持高度警惕。
• 建议企业用户部署移动端威胁检测与响应方案，对移动设备进行持续监控，及时发现并处置恶意应用。
• 安全团队应将报告中披露的IOC（MD5、C&C域名等）纳入威胁情报库，进行主动狩猎和阻断。

关键结论

1. 仿冒ChatGPT的恶意APP已成为2023年移动端最突出的安全威胁之一，累计捕获样本超1170个，且高危占比过半。
2. DogeRat远控木马是此类攻击的主要载体，具备全面的远程控制能力，可窃取短信、通讯录、定位、音视频等高度敏感数据。
3. 攻击者利用ChatGPT的品牌热度和用户信任，通过仿冒应用实现大规模恶意传播，攻击链完整且具备反检测能力。
4. 用户安全意识薄弱和第三方应用分发渠道监管不足是此类威胁蔓延的主要驱动因素。
5. 建议用户严格遵循官方渠道下载原则，审慎授权应用权限，并借助专业安全产品构建移动端防护能力。

常见问题