TypoPrompting contro l’AI: 186 domini falsi trasformano un typo in malware ed estensioni hijacker del browser

Una nuova campagna di cybersicurezza sta sfruttando domini falsi che imitano strumenti di intelligenza artificiale per ingannare gli utenti e distribuire minacce mirate al browser. Il fenomeno, basato su typosquatting e domini lookalike, trasforma un semplice errore di digitazione in un rischio concreto, portando a pagine di verifica fasulle, malware e estensioni dannose.

Il modello di consegna è stato definito TypoPrompting e coinvolge 186 domini fraudolenti collegati a 27 brand AI molto popolari, tra cui ChatGPT, Claude, Gemini, Copilot, Grok, DeepSeek, Mistral, Perplexity, Midjourney, ElevenLabs e altri.

Le tre catene di reindirizzamento osservate

Le catene di reindirizzamento osservate portano a tre percorsi principali.

1) Esche in stile ClickFix con finta verifica Cloudflare

Il primo percorso utilizza esche in stile ClickFix, dove una pagina che simula una verifica Cloudflare spinge la vittima a eseguire un comando copiato negli appunti, spesso tramite PowerShell su Windows. In questo schema, la pagina iniziale può essere un dominio parcheggiato che avvia una serie di redirect, esegue fingerprinting del browser e raccoglie informazioni come l’indirizzo IP pubblico prima di mostrare la finta verifica. Sono stati inoltre identificati numerosi domini di ingresso aggiuntivi usati come gate, non limitati al mondo AI, ma anche legati a banche, assicurazioni e software enterprise.

2) Pagine “Security Check” e malware di browser hijacking (Net Guard)

Il secondo percorso conduce a pagine chiamate Security Check che scaricano un malware di browser hijacking denominato Net Guard. Questo componente si presenta come scanner di sicurezza Wi‑Fi e DNS, ma include funzioni per eseguire JavaScript controllato da attaccanti, modificare il motore di ricerca predefinito quando l’utente è inattivo, alterare profili del browser e installare estensioni Chrome in modo arbitrario.

3) Estensioni dirottatrici della ricerca e rischio di esposizione dati

Il terzo percorso porta a una famiglia di estensioni dirottatrici della ricerca, con diverse inserzioni ancora attive e centinaia di migliaia di utenti dichiarati. Un caso tipico è un dominio simile a Perplexity che reindirizza a una estensione tipo Quick Search, capace di sostituire il provider di ricerca e inviare query a terze parti. In contesti aziendali questo può esporre nomi di clienti, dettagli di progetto e hostname interni.