Pesquisadores da Push Security identificaram, em 29 de maio de 2026, uma campanha batizada de LLMShare. Nela, criminosos abusaram de recursos legítimos do ChatGPT para distribuir malware. O detalhe mais perturbador é simples: o ataque rodava dentro de um endereço real da OpenAI.

Para desenvolvedores e times de segurança, o caso traz uma lição direta. Afinal, a linha que separa uma instrução confiável de um comando malicioso está cada vez mais fina.

ChatGPT: Por que um domínio legítimo enganou os firewalls

Tudo começou com anúncios patrocinados no Google. Os criminosos compraram termos de alta busca, como “ChatGPT desktop app” e “ChatGPT download”. Em seguida, quem clicava era levado para uma URL genuína dentro do domínio chatgpt.com.

Aqui mora o problema. Firewalls corporativos costumam inspecionar o destino do clique. Portanto, ao verem um domínio legítimo da OpenAI, liberavam o tráfego sem checar o conteúdo da página.

Ou seja, a reputação do domínio funcionou como passe livre. Dessa forma, o ataque contornou justamente a camada que deveria barrá-lo.

InstallFix: quando o terminal vira a arma

A técnica usada se enquadra na categoria InstallFix, uma variante da família ClickFix. Basicamente, esses ataques exploram um hábito novo. Afinal, ferramentas de IA popularizaram o uso de comandos de terminal entre pessoas sem repertório técnico.

O resultado é previsível. Muitos usuários não distinguem uma instrução legítima de uma maliciosa. Logo, copiar e colar um comando virou um gesto quase automático.

Para quem desenvolve, o alerta é duplo. Primeiro, porque o próprio time de produto também cola comandos sugeridos. Segundo, porque o mesmo padrão pode atingir pipelines e máquinas de build.

O truque da renderização que montou a página falsa no ChatGPT

Dentro da URL real, os invasores usaram o recurso de renderização de código do ChatGPT. Com ele, montaram uma página falsa de instabilidade. A mensagem dizia que a versão web do assistente estava temporariamente fora do ar.

Em seguida, o texto orientava a vítima a baixar um suposto aplicativo desktop. Então, o usuário era redirecionado para o site openew.app. Esse endereço imitava a aparência de uma página oficial de download.

Renderização condicional ChatGPT: como o site driblou o URLScan

O site malicioso ainda tinha uma carta na manga. Para escapar de análises automáticas, ele usava renderização condicional. Na prática, o conteúdo mudava conforme quem acessava.

Quando ferramentas como o URLScan visitavam o endereço, o site exibia uma fachada inofensiva de empresa de realidade virtual. No entanto, usuários reais viam a armadilha completa, com o download do malware liberado.

Por isso, o domínio passava pelas verificações sem levantar suspeitas. Enquanto isso, seguia ativo e nocivo para as vítimas.

Odyssey Stealer: o que o malware caçava no macOS

Os executáveis maliciosos atingiam Windows e macOS. No macOS, o payload identificado foi o Odyssey Stealer, uma variante do Atomic macOS Stealer.

Esse tipo de malware tem alvos claros. Ele busca senhas salvas no navegador, carteiras de criptomoedas e tokens de sessão. Esses tokens, vale lembrar, mantêm o usuário logado em serviços. Portanto, roubá-los equivale a sequestrar sessões inteiras sem precisar da senha.

ChatGPhish e ClaudeBleed: um padrão que se repete

A campanha LLMShare não é um caso isolado. Pelo contrário, assistentes de IA viraram alvo frequente justamente pela confiança que inspiram.

Recentemente, a Permiso Security descreveu o ChatGPhish. Nessa técnica, qualquer página pode embutir instruções ocultas que o ChatGPT segue ao resumir um conteúdo. Como consequência, alertas falsos aparecem dentro da própria interface do assistente.

Em paralelo, a LayerX divulgou o ClaudeBleed. Trata-se de uma falha na extensão oficial do Claude para Chrome. Por meio dela, qualquer extensão maliciosa do navegador assumia o controle do assistente sem permissão especial.

O que desenvolvedores podem fazer agora

A lição central é incômoda, mas útil. Confiar em um domínio não é o mesmo que confiar no conteúdo servido por ele.

Então, vale revisar algumas práticas no dia a dia:

• Não trate allowlists de domínio como inspeção de conteúdo. Além disso, combine reputação de domínio com análise do que é de fato renderizado.
• Desconfie de qualquer comando de terminal sugerido por uma IA. Antes de executar, leia linha por linha.
• Baixe aplicativos apenas das lojas oficiais ou do site verificado do fornecedor.
• Eduque o time sobre ataques ClickFix e InstallFix. Afinal, o elo humano segue sendo o vetor preferido.

Em resumo, a campanha LLMShare revela uma fronteira nova. Agora, a engenharia social se hospeda dentro das ferramentas que usamos todos os dias. Por isso, a vigilância precisa acompanhar essa mudança.

Acompanhe nosso perfil no Instagram!