免費AI應用資安風險：Deepnude釣魚陷阱與防範

免費AI應用資安風險不可忽視！解析 FIN7 駭客組織利用 Deepnude 蜜罐網站的惡意軟體散佈及釣魚攻擊新策略。教你如何避免下載免費AI應用服務造成的資安危害，守護個人隱私。

在人工智慧飛速發展的時代，免費AI應用程式如雨後春筍般湧現，特別是那些聲稱能提供新奇應用的程式，更是吸引了許多好奇的使用者。這些應用往往以華麗的宣傳和誘惑性的廣告展示所謂的“高科技”功能，讓使用者心動不已，躍躍欲試。然而，這些應用的背後卻潛藏著重大的安全隱患。

例如：近期就有一種提供去除衣物產生裸照的應用AI Deepnude，利用使用者的好奇心，在點擊下載應用程式或是上傳圖片的過程中，不經意安裝各種間諜軟體，竊取個人資訊，包括聯絡人、照片，甚至銀行帳戶資料。這些惡意程式在用戶的設備上隱秘運行，利用設備的計算資源發起攻擊，或將敏感數據傳輸給不法分子。這些應用程式的安裝過程中常常安裝了一些其他軟體，會降低設備性能，甚至導致系統崩潰。使用者在追求刺激和新奇的同時，往往忽視了這些潛在的風險，最終可能造成難以挽回的損失。

因此，在下載或是使用任何應用程式之前，使用者應提高警惕，仔細檢查應用的評價和開發者的背景。只有這樣，才能在這個充滿誘惑的數位世界中，保護好自己的個人安全，避免成為惡意程式的受害者。

惡意軟體散佈及釣魚攻擊新策略

Silent Push研究人員發現，FIN7駭客組織（又稱 Sangria Tempest）在惡意軟體和網路釣魚攻擊中使用了新策略。FIN7駭客組織已經創建數個蜜罐(honeypot)的網站，網站上免費提供「AI Deepnude」應用給訪客使用，並趁機散佈惡意內容。上述所說的蜜罐並不是傳統的誘餌和檢測機制，而是駭客精心設計出來的引誘毫無戒心受害者的誘餌。

AI Deepnude 蜜罐網站包含來自 Facebook Audience Network 和 Yandex Analytics 的 JavaScript。

狡猾的FIN7駭客組織，一共創建兩個版本的蜜罐網站。第一個涉及 AI Deepnude程式”免費下載”的網站，第二個為提供訪客上傳圖片“免費試用”AI Deepnude的網站。駭客的惡意攻擊手法真的是與時俱進，防不勝防。

提供程式”免費下載”的網站

點擊進入下載頁面

上傳圖片“免費試用”AI Deepnude的網站

上傳圖片的頁面

如果用戶同意並點擊“下載”，他們就會收到一個帶有惡意負載的 zip 檔案。裡面包含了一些惡意程式的安裝檔。

利用SEO策略傳播AI Deepnude網站，增加曝光度

FIN7駭客組織，會在網站的頁腳連結加上知名網站的名稱，但實際上卻還是導向自己的AI Deepnude網站。有鑑於此，很可能正在使用 SEO 策略來讓他們的AI Deepnude網站在搜尋結果中排名更高。

攻擊流程

避免下載免費AI應用服務造成的資安危害

● 還是老話一句，免費的最貴，盡量去避免下載在免費的AI應用程式。想要下載試用免費的應用，駭客可是要你珍貴的個人資料。

● 如果非要下載免費的AI應用，也要去可信賴的平台去下載。並且先確認下載數量、作者的來歷及評論的內容，再決定是否下載。

● 如果應用程式引導你去一個很新的網站或是平台，且宣傳的內容愈新穎，就要有所警惕是否為藏有惡意內容的網站。

參考資料：

1、https://www.ithome.com.tw/news/165307

2、https://www.silentpush.com/blog/fin7-malware-deepfake-ai-honeypot/