Cách sử dụng ChatGPT để lưu trữ trang web lừa đảo và thu thập IP của đối tượng

Chatgpt - công cụ AI mới nổi đã thu hút được nhiều sự chú ý bởi khả năng tóm tắt văn bản, tạo code, hay đơn giản hóa những vấn đề phức tạp một cách ấn tượng,đồng thời cũng thu hút nhiều sự quan tâm của cộng đồng an ninh mạng bởi mối lo ngại về khả năng con bot chat AI này có thể tạo ra các email lừa đảo cực kì tinh vi. Trong những blog gần đây của Cloudfare, họ đã nhấn mạnh rằng : "Họ đã xác định những cách thông thường bằng cách tìm các từ khoá, chỉ số như 'ngữ pháp kém', 'sai chính tả', hay sai cấu trúc câu đều có thể bị thay đổi nhờ sử dụng chatgpt". Mình cũng đã khám phá ra một cách tiếp cận tác yếu tố độc hại để sử dụng ChatGPT như một tài nguyên lưu trữ các trang web lừa đảo và leak ip của nạn nhân thông qua trình hiển thị code Markdown của ChatGPT.

Ngoài ra, nền tảng này cũng cho phép người sử dụng chia sẻ liên kết tới các cuộc trò chuyện riêng, đồng nghĩa với việc tăng khả năng phát tán mã độc từ tin tặc tới người dùng. Khả năng hỗ trợ của Markdown cũng như chia sẻ những cuộc trò chuyện chứa các đường link độc hại đã vô tình cung cấp cho hackers một phương pháp hoàn hỏa để lưu trữ các websites độc hại. Những websites này có thể chứa đường link nhúng để điều hướng người dùng tới một web scam, hay trực tiếp tải các phần mềm độc hại về thiết bị của người sử dụng, ... . Dưới đây là một ví dụ trực quan cách sử dụng markdown để lưu trữ, thực hiện hoàn toàn trên chat.openai.com:

Đa số người dùng đều nhận thấy lỗ hổng của ví dụ trên và dễ dàng thấy đường link độc hại. Tuy nhiên, hackers có thể đánh lạc hướng và giấu các đường link rất tinh vi bằng tính năng "Customer Instruction" của ChatGPT. Chỉ đơn giản bằng cách tạo một lời nhắc, thêm nó vào phần đầu ở dưới mục "Bạn muốn chat GPT phản hồi như thế nào?", các hackers đã che giấu được các đường link chính và làm cho cuộc hội thoại được chia sẻ trở nên legit hơn thông qua việc copy những phản hồi tương tự như một cuộc trò chuyện vô hại:

Nguy hiểm hơn khi công cụ này rơi vào tay của những kẻ chuyên nghiệp, chúng có thể tạo ra những cuộc trò chuyện chứa những đường link lừa đảo, chứa files độc hại một cách tinh vi để đánh lừa người dùng. Ngoài ra, tin tặc có thể sử dụng kết hợp các phương pháp như "spy pixel" để lấy được địa chỉ IP của nạn nhân. Điều đáng chú ý hơn rằng chính OpenAI cũng đã thừa nhận trên Bugcrowd rằng ChatGPT sẽ cố để tải và hiển thị các hình ảnh của domain khác!

Nguồn: https://sdushantha.medium.com/using-chatgpt-to-host-phishing-pages-and-grab-victims-ips-a1d766edaa6e