Soggetti minacciosi, approfittando della popolarità di ChatGPT, hanno lanciato uno strumento hacker che offre servizi di chatbot simili all’applicazione reale basata su un’app di intelligenza artificiale generativa, ma mira specificamente a promuovere attività malevole.
I ricercatori hanno trovato annunci pubblicati sul Dark Web per uno strumento hacker basato sull’intelligenza artificiale chiamato “FraudGPT,” che viene venduto su base abbonamento ed è circolato su Telegram dal sabato, come rivelato da Netenrich in un post pubblicato il 25 luglio. FraudGPT parte da 200 dollari al mese e arriva fino a 1.700 dollari all’anno ed è progettato per aiutare gli hacker a condurre le loro attività malvagie con l’aiuto dell’intelligenza artificiale. L’attore afferma di avere già oltre 3.000 vendite e recensioni confermate per FraudGPT.
Un altro strumento hacker basato sull’intelligenza artificiale simile, WormGPT, è in circolazione dal 13 luglio ed è stato descritto dettagliatamente in un rapporto di SlashNext. Come ChatGPT, questi nuovi strumenti avversari basati sull’intelligenza artificiale sono anch’essi basati su modelli addestrati su ampie fonti di dati e possono generare testi simili a quelli umani in base all’input che ricevono.
Gli strumenti “sembrano essere tra le prime iniziative dei soggetti minacciosi nel costruire funzionalità di intelligenza artificiale generativa nei loro strumenti,” ha dichiarato John Bambenek, principale cacciatore di minacce presso Netenrich, a Dark Reading. “Prima di questo, la nostra discussione sul panorama delle minacce era teorica.”
Criminali informatici armati di chatbot basati sull’intelligenza artificiale.
Sia WormGPT che FraudGPT consentono ai criminali informatici di sfruttare l’intelligenza artificiale a loro vantaggio quando creano campagne di phishing, inviando messaggi mirati per spingere le vittime a cadere in truffe via email, come la frode aziendale tramite email (BEC) e altre truffe basate su email.
Inoltre, FraudGPT offre molte altre funzionalità dannose, come la creazione di codici malevoli, malware indetectable, la ricerca di informazioni di carte di credito non verificate tramite Visa, la creazione di pagine di phishing, lo sviluppo di strumenti di hacking, la scoperta di gruppi, siti e mercati di hacking, la redazione di pagine e lettere truffaldine, la ricerca di vulnerabilità e falle, e la possibilità di apprendere a programmare o a hackerare.
Tuttavia, sembra che una delle principali applicazioni per FraudGPT sia aiutare i criminali a creare campagne di phishing convincenti. Secondo Netenrich, la capacità dello strumento in questo ambito è stata evidenziata anche in materiale promozionale presente sul Dark Web, il quale dimostra come FraudGPT sia in grado di produrre una bozza di email che invoglia i destinatari a cliccare su link maligni forniti.
Violazione delle barriere etiche di ChatGPT attraverso il jailbreaking
Mentre ChatGPT può essere sfruttato come uno strumento hacker per scrivere email manipolate a fini sociali, esistono delle salvaguardie etiche che limitano questo utilizzo. Tuttavia, la crescente diffusione di strumenti basati sull’intelligenza artificiale come WormGPT e FraudGPT dimostra che “non è una difficoltà estrarre nuovamente la stessa tecnologia senza tali protezioni,” ha scritto Krishnan.
In effetti, FraudGPT e WormGPT sono ulteriori prove di ciò che un esperto di sicurezza definisce “sblocco generativo dell’intelligenza artificiale per principianti”, in cui i cattivi attori stanno abusando delle applicazioni di intelligenza artificiale generativa per eludere le barriere etiche per l’intelligenza artificiale generativa che OpenAI sta attivamente combattendo, una battaglia che è stata in gran parte in salita.
“È una lotta in corso,” afferma Pyry Avist, co-fondatore e CTO di Hoxhunt. “Si creano delle regole, poi queste regole vengono violate, se ne creano di nuove, ma anche quelle vengono violate, e così via.”
Sebbene non si possa “chiedere semplicemente a ChatGPT di creare una convincente email di phishing e un modello per rubare le credenziali inviato dal tuo CEO”, qualcuno “può fingere di essere il CEO e facilmente redigere una email urgente al team finanziario, chiedendo loro di modificare un pagamento di fattura,” sostiene Avist.
Difendersi dalle minacce informatiche supportate dall’intelligenza artificiale.
Con l’avanzamento dell’intelligenza artificiale (IA), le minacce informatiche stanno diventando sempre più sofisticate e pericolose. Gli attori maligni sfruttano l’IA per creare attacchi mirati, truffe di phishing più convincenti e malware indetectable, sfidando le tradizionali misure di sicurezza. Tuttavia, esistono diverse strategie per proteggersi contro queste minacce abilitate dall’IA:
- Consapevolezza e formazione: Fornire un’adeguata formazione agli utenti riguardo alle minacce informatiche, comprese quelle basate sull’IA, può aiutare a prevenire l’esposizione a truffe e attacchi.
- Analisi comportamentale: Implementare soluzioni di analisi comportamentale può consentire di rilevare attività sospette e anomalie, aiutando a identificare possibili minacce prima che causino danni.
- Monitoraggio costante: Monitorare costantemente le attività di rete e i sistemi informatici può rivelare segni di intrusioni o attività malevole abilitata dall’IA.
- Filtraggio dei contenuti: Utilizzare filtri dei contenuti avanzati per identificare e bloccare siti web dannosi, email di phishing e altre minacce basate sull’IA prima che raggiungano gli utenti.
- Protezione basata sull’IA: Sfruttare l’intelligenza artificiale e il machine learning per sviluppare sistemi di sicurezza avanzati che possano adattarsi e rispondere in tempo reale alle minacce emergenti.
- Collaborazione con la comunità: Le aziende, le organizzazioni e le agenzie di sicurezza dovrebbero collaborare e scambiare informazioni sulle nuove minacce informatiche basate sull’IA per sviluppare strategie di difesa più efficaci.
- Aggiornamenti regolari: Mantenere costantemente i software e le applicazioni aggiornate con le ultime patch di sicurezza per ridurre le vulnerabilità e le opportunità per gli attaccanti.
- Accesso privilegiato: Limitare l’accesso privilegiato solo a coloro che ne hanno effettivamente bisogno ridurrà il rischio di abusi o violazioni di sicurezza.
- Test di vulnerabilità: Effettuare regolarmente test di vulnerabilità per identificare i punti deboli nella sicurezza del sistema e risolverli tempestivamente.
- Piano di risposta agli incidenti: Avere un piano di risposta agli incidenti ben strutturato può aiutare a mitigare i danni in caso di violazione della sicurezza e consentire una risposta rapida e mirata.
Mentre l’IA offre nuove opportunità, è fondamentale essere proattivi nella protezione delle reti e dei dati da minacce sempre più sofisticate. Una combinazione di tecnologie avanzate, formazione degli utenti e strategie di sicurezza ben pianificate è essenziale per difendersi efficacemente contro le minacce informatiche abilitate dall’IA.
Difesa Pro-Attiva
Senza dubbio, gli strumenti di intelligenza artificiale generativa offrono ai criminali le stesse funzioni fondamentali che forniscono ai professionisti della tecnologia: “la capacità di operare a una velocità e una scala maggiori,” afferma Bambenek. “Gli attaccanti possono ora generare rapidamente campagne di phishing e lanciarne di più contemporaneamente.”
Poiché il phishing rimane uno dei principali modi attraverso cui i cyberattaccanti ottengono un ingresso iniziale nei sistemi aziendali per condurre ulteriori attività malevoli, è essenziale implementare protezioni di sicurezza convenzionali per contrastarlo. Queste difese possono ancora rilevare il phishing abilitato dall’IA e, cosa ancora più importante, le azioni successive del soggetto minaccioso.
“In sostanza, questo non cambia la dinamica di ciò che è una campagna di phishing, né il contesto in cui opera,” afferma Bambenek. “Finché non si tratta di phishing proveniente da un account compromesso, i sistemi di reputazione possono ancora rilevare il phishing da mittenti non autentici, ad esempio da domini con typo-squatting, fatture provenienti da account di posta elettronica gratuiti, ecc.”
Implementare una strategia di difesa in profondità con tutti i dati di sicurezza disponibili per analisi rapide può anche aiutare le organizzazioni a identificare un attacco di phishing prima che gli aggressori compromettano una vittima e passino alla fase successiva dell’attacco, spiega.
“I difensori non devono rilevare ogni singola cosa che fa un aggressore in una catena di minacce, devono solo rilevare qualcosa prima delle fasi finali di un attacco, ovvero ransomware o furto di dati, quindi avere un solido programma di analisi dei dati di sicurezza è essenziale,” dice Bambenek.
Anche altri professionisti della sicurezza promuovono l’uso di strumenti di sicurezza basati sull’IA, il cui numero sta crescendo, per contrastare l’intelligenza artificiale avversaria, combattendo in pratica il fuoco con il fuoco per contrastare la crescente sofisticazione del panorama delle minacce.
