近日，一種名為“自騙”的新型攻擊手段正在瞄準(zhǔn)加密貨幣愛好者和金融交易者。這種攻擊利用AI生成的深度偽造（Deepfake）視頻和惡意腳本，標(biāo)志著社交工程技術(shù)的一次危險(xiǎn)升級(jí)。網(wǎng)絡(luò)安全公司Gen Digital的研究人員發(fā)現(xiàn)，該攻擊活動(dòng)通過利用經(jīng)過驗(yàn)證的YouTube頻道、合成人物形象以及AI制作的惡意載荷，誘使受害者主動(dòng)破壞自己的系統(tǒng)。
攻擊手段：深度偽造視頻結(jié)合惡意腳本
這種攻擊在2024年第三季度激增了614%，它結(jié)合了尖端的深度偽造技術(shù)和心理定制的誘餌，引發(fā)了人們對(duì)生成式AI在網(wǎng)絡(luò)犯罪中被武器化的高度關(guān)注。攻擊通常從一個(gè)托管在已被劫持的YouTube頻道上的深度偽造視頻開始，該頻道擁有11萬訂閱者。視頻中出現(xiàn)一個(gè)名為“Thomas Harris”或“Thomas Roberts”的合成人物形象，通過高級(jí)的面部動(dòng)畫、語音合成和身體動(dòng)作復(fù)制技術(shù)創(chuàng)建。
盡管該頻道看似合法，甚至包含從TradingView轉(zhuǎn)用的內(nèi)容，但未公開的教程視頻會(huì)指示觀眾激活一個(gè)虛構(gòu)的“AI開發(fā)者模式”，聲稱能夠以97%的準(zhǔn)確率預(yù)測加密貨幣市場趨勢(shì)。
從深度偽造到PowerShell惡意載荷
攻擊的核心在于其使用AI生成的腳本，旨在繞過用戶的懷疑。受害者被引導(dǎo)打開Windows的運(yùn)行對(duì)話框（Win+R），并執(zhí)行一個(gè)PowerShell命令，從Pastefy[.]com或Obin[.]net等粘貼分享網(wǎng)站獲取惡意腳本。
研究人員解密的一例代表性載荷顯示，攻擊者甚至使用ChatGPT優(yōu)化了他們的代碼：
該腳本連接到命令與控制（C&C）服務(wù)器（最近被追蹤為developer-update[.]dev或developerbeta[.]dev），以部署Lumma Stealer或NetSupport遠(yuǎn)程訪問工具。
Lumma Stealer會(huì)竊取加密貨幣錢包和瀏覽器憑證，而NetSupport則授予攻擊者對(duì)其系統(tǒng)的完全控制權(quán)。取證分析揭示了關(guān)鍵組件的SHA-256哈希值，包括：
- a5e0635363bbb5d22d5ffc32d9738665942abdd89d2e6bd1784d6a60ac521797（惡意PowerShell腳本）
- 2fe60aa1db2cf7a1dc2b3629b4bbc843c703146f212e7495f4dc7745b3c5c59e（Lumma Stealer變種）
值得注意的是，深度偽造視頻通過程序性細(xì)節(jié)隱藏其人工性質(zhì)——合成聲音會(huì)解釋如何通過添加注冊(cè)表排除項(xiàng)來繞過Windows Defender，而屏幕上的按鍵操作則模仿了真實(shí)的TradingView工作流程。
攻擊者還通過YouTube的贊助廣告系統(tǒng)擴(kuò)大影響力，目標(biāo)鎖定在觀看合法金融內(nèi)容的用戶。與傳統(tǒng)網(wǎng)絡(luò)釣魚不同，受害者會(huì)積極參與到自身的攻擊中，誤以為自己在訪問獨(dú)家工具。隨著網(wǎng)絡(luò)犯罪分子現(xiàn)在能夠自動(dòng)化人物創(chuàng)建和腳本優(yōu)化，通過多種渠道驗(yàn)證數(shù)字指令已成為一項(xiàng)不可或缺的安全實(shí)踐。
