兄弟,那个帮爷爷卖茶叶的善良女孩,可能是ChatGPT

  詹士发自凹非寺

  量子位公众号 QbitAI

  ChatGPT,越来越刑了!

  已有不法分子将其“打扮成”年轻女孩,放社交软件上,引诱男性上钩,进而实施诈骗。

  △ 面向中国市场,可能是个朋友圈里的卖茶女孩

  事实上,据 Forbes 最新消息,ChatGPT 不法用途还不止于此。

  它不仅能编写程序,监视键盘输入信息,也能自己生成勒索软件,甚至,还有人用其编写暗网上毒品交易市场各种功能的代码。而对很多不擅长英语的异国黑客,ChatGPT 也是协助生成英文钓鱼网站绝佳从犯。

  安全研究机构(如 Check Point)已关注到了 ChatGPT 被用于不法行径的问题,引发很多网友热议。

  有人感慨:这还只是开始。

  也有人提议,要自己构建个 ChatGPT 聊天机器人,与诈骗聊天机器人唠唠,会发生什么?

  所以,ChatGPT 是如何被“带坏”的?

  ChatGPT 恶意打开方式有几种?

  ChatGPT 在 2022 年 11 月刚发布时,就有不少人预测,它可能被用于非法网络犯罪。

  甚至有人亲自下场,试验了一下用 ChatGPT 如何触碰网络犯罪红线。

  从构建鱼叉式网络钓鱼邮件,到运行能接受英语命令的反向 shell,ChatGPT 都能 Hold 住。

  △ ChatGPT 生成的钓鱼邮件

  值得明确的是,上述都停留在“假设”与“警告”中。

  直到这两天,IT 安全公司 Check Point 表示,他们找到了确切证据。通过对几个主流地下黑客社区论坛的分析,调研者发现:已有第一批网络犯罪分子使用 OpenAI 开发恶意工具,他们中,甚至有人没有代码开发能力。

  为证明所言不虚,调研者分享了一些案例。

  比如 2022 年 12 月 29 日的一篇帖子,它来自地下黑客论坛,名为《ChatGPT-作为恶意软件的好处》。

  帖子作者表示,他已经在尝试用 ChatGPT 创建恶意软件,随文还分享出一段基于 Python 的窃取器的代码。

  该程序会搜索 12 种常见文件类型,比如 Office 文档、PDF 及图片,当发现特定文件后,程序会将它们复制到 Temp 文件夹内,压缩并上传到 FTP 服务器。

  网络安全分析者还指出,该程序发送文件过程中并未加密,因此,第三方也可能获得上述传输的文件。

  该帖子作者还分享了一段 Java 代码,它将下载 PuTTY。这是一个常见的 SSH 和 telnet 客户端,恶意代码将使用 Powershell 在系统中秘密运行它。通过修改脚本,能下载任何恶意软件。

  值得注意的是,这位发帖者是地下黑客论坛活跃分子,曾参与多个非法脚本开发,比如一个试图通过网络钓鱼获得用户敏感信息的 C++ 程序。他还分享过 Android RAT 和 SpyNote 的破解版。

  网络安全机构调研者认为,此人是个技术能手,这篇帖子是个教程,旨在向低开发能力的不法分子展示利用 ChatGPT 的方法及实例。

  如果上述帖子是技术派带坏 ChatGPT 的代表,下面一篇帖子,就是门外汉利用 AI 作恶的旁证。

  这位名为 USDoD 的黑客发布了一个原创脚本,特意强调这是他创建的第一个脚本。下方有人指出该代码很像 AI 生成代码时,他也承认,OpenAI 提供了一个“好帮手”。

  其功能是对单个文件加密,并将消息认证码 (MAC)附在文件末尾,也能将硬编码路径加密,并解密参数文件列表。

  尽管上述代码可用于合法场景,但是,一旦部分脚本与语法问题加以调整,它就能变成一个勒索软件。

  该发帖者是一位技术不强的活跃分子,曾出售被盗数据库访问权,最近还共享过 InfraGard 数据库。

  相比生成脚本与代码,更多不法分子专注于用 ChatGPT 从事更容易上手的非法交易。

  一篇 2022 年 12 月 31 日的帖子讨论了——用 ChatGPT 在暗网创建非法商品市场有多容易。

  内容中,涉及交易的物品包括被盗账户、银行卡、恶意软件,甚至毒品和枪械,付款方式以加密货币进行。

  其他地下论坛中,也有相当一部分帖子讨论如何利用 ChatGPT 进行诈骗的手法。

  有网络安全调研机构向媒体表示,已有诈骗者企图利用 ChatGPT 创建聊天 bot,模仿女孩聊天,用以低成本和受害男性聊天,博取他们信任,从而实施诈骗。

  Check Point 调研者补充道,尽管 ChatGPT 所生成的恶意软件及代码很基础,不可能像此前攻破爱尔兰卫生系统的 Conti 一样精致,但其潜在危害在于降低了新手违法的门槛。

  他继续补充,该门槛不仅针对技术,对于不擅长英语的各国黑客,ChatGPT 也是生成合法钓鱼邮件的“绝佳工具”。在钓鱼邮件犯罪中,AI 也可能被用于个性化生成内容。

  值得一提的是,在地下黑客论坛,关于在灰色地带靠 ChatGPT 获利的讨论内容也不少。有内容讨论如何用 AI 快速创造网文、电子书并销售获利,另一部分内容讨论了用 OpenAI 另一个模型 DALLE-2 生成图片并出售的操作。

  关于上述威胁,也有人去问了问 ChatGPT 的看法。

  AI 认为,这类现象并不罕见,并列出常见手法。

  更值得注意的是,ChatGPT 在结尾很“机智”、“公关”地替母公司给出一套辩护说辞:值得注意的是,OpenAI 本身并不对第三方滥用技术的行为负责,公司已采取了相关措施防止技术被用于恶意目的,比如出台条款要求用户同意——禁止将其技术用于非法或有害活动。

  最后问问,对滥用 ChatGPT 现象,你有解决方案么?

  参考链接:

  [1]https://www.forbes.com/sites/thomasbrewster/2023/01/06/chatgpt-cybercriminal-malware-female-chatbots/?sh=1f13474c5534

  [2]https://research.checkpoint.com/2023/opwnai-cybercriminals-starting-to-use-chatgpt/