最新消息與洞察
NEITHNET 資安實驗室
最近，在暗網論壇及Telegram頻道上，發現全新FraudGPT網路犯罪生成式AI工具，他是繼WormGPT後，又一個專為攻擊而生的黑化ChatGPT。
從 WormGPT 到 FraudGPT，說明了運用生成式 AI 技術從事各種網路犯罪活動已然成為新潮流。不僅如此，雖然當前許多駭客工具早已發展成雲端服務，但 FraudGPT 的推出，更進一步地將網路釣魚即服務（PhaaS）提升到全新的層次與水準，它不但讓 PhaaS 服務的提供門檻降低，也讓新手發動更複雜網路釣魚及 BEC 變臉詐騙等攻擊的門檻大幅降低。總而言之，今後面對如此快速變化的安全威脅，透過可用於快速分析的安全遙感技術來落實縱深防禦政策將變得更加重要。
FraudGPT介紹
FraudGPT於7月22日推出，由用戶名為CanadianKingpin12的人在各種駭客論壇及Telegram上宣傳，廣告宣稱已經成交了 3,000 多筆訂單，還有客戶評價。不過 FraudGPT 使用哪一種大型語言模型 (LLM) 開發目前還不得而知。
FraudGPT 的訂閱費用起價為每月 200 美元，最高為每年 1,700 美元。推廣的一些功能，包括：
● 編寫惡意程式代碼
● 創建不容易被察覺出來的惡意軟體
● 尋找非VISA驗證(VBV = Verified by Visa)的銀行識別碼
● 建立網路釣魚頁面
● 創建駭客使用工具
● 尋找網路上的社交群體、網站、市場
● 編寫詐騙頁面及信件
● 查找網站或是軟體洩漏、漏洞
● 學習編碼及駭客技巧
● 尋找可刷卡的網站
● 每周7天，每天24小時的託管服務(意味可提供365天全方位的託管方式)。
● 累積超過 3,000筆已確認完成的交易及評論。
FraudGPT實際運用案例：
1. 駭客可以利用FraudGPT生成一封內容逼真電子郵件，誘使收件人點擊所提供的惡意連結。造成商業電子郵件洩漏 (BEC)的資安危害。
上圖所展示的內容是利用FraudGPT生成簡短且專業的文本，說服客戶點擊 惡意連結。第一段請求為生成偽造美國銀行通知用戶點擊惡意連接文本；第二段則請求為生成偽造花旗銀行通知用戶點擊惡意連接的文本。
2. 利用FraudGPT找出最具針對性的服務/網站，能更進一步欺騙受害者。
上圖所展示的內容：
第一段是找出兩個非VISA驗證的銀行識別碼(BIN)。
539213(US Bank)
542156(American Express)
第二段是找出五個可以輕易刷卡的網站。
Amazon
Walmart
Best Buy
Apple
Macy’s
3. 快速生成網頁內容。
上圖所展示的內容是撰寫一個美國銀行詐騙頁面的網頁代碼。
保護好自己避免受到FraudGPT的危害：
1、在線上交易時保持警惕
仔細檢查「警示性」訊息是很好的經驗法則，尤其是提示財務行為或洩露個人詳細資訊的訊息。最終一定要使用官方管道來驗證此類請求。
2、優先考慮安全更新
保持更新的重要性怎麼強調都不為過，包括定期修補軟體、使用值得信賴的防毒解決方案，及隨時了解網路安全的最新動態。
3、謹慎對待未知連結
鑑於 FraudGPT 能夠建立可信任的 URL，請務必在點擊連結或下載附件前，確保了解寄件者及來源。
4、員工培訓至關重要
對企業來說，人的因素往往是最薄弱的環節。確保員工接受過識別潛在網路威脅的良好培訓。
5、迅速行動並報告
若發現任何可疑內容或收到可疑訊息，應立即通知公司或外部的資安團隊。
參考資料：
https://www.aiworldtoday.net/p/fraudgpt-ai-model-sold-on-dark-web-cyber-attack
https://cybernews.com/security/chatgpt-badboy-brothers-dark-web/
https://tokto.ai/blog/cybercriminals-train-ai-chatbots-for-phishing-malware-attacks
https://netenrich.com/blog/fraudgpt-the-villain-avatar-of-chatgpt
https://catalystpay.com/resources/blog/advice/8-digit-bins
更多資安訊息及防護策略，歡迎與NEITHNET資安專家聯繫：info@neithnet.com。