編譯／鄭智懷 資安大廠卡巴斯基（Kaspersky）於本周稍早發布的最新報告指出，Telegram已經成為暗網 …

編譯／鄭智懷

資安大廠卡巴斯基（Kaspersky）於本周稍早發布的最新報告指出，Telegram已經成為暗網的主要替代選項之一，特別是在2021年以降，網路犯罪者大量利用該通訊軟體為買家提供各式網路釣魚工具與服務。

報告執筆人Olga Svistunova指出，網路釣魚銷售商在Telegram上設立官方群組，用於宣傳、推廣商品與服務，甚至還不定時推出具娛樂性的調查文，吸引更多網路用戶加入網路釣魚大軍行列。

Olga Svistunova發現，銷售商還針對不同的客戶群推出免費與付費的服務內容。前者主要是鎖定有意加入的潛在客戶，或剛開始執行網路釣魚的初學者。服務項目包含自動產出專屬機器人、頁面、令牌、基礎工具包及受害者個資。後者則是為熟練網路釣魚的資深詐騙者提供更完整的服務項目。

Olga Svistunova研判，銷售商之所以提供上述免費商品與服務—即使技術低下且獲得的訊息有限，旨在誘使新手嘗到首次騙局的甜頭之後，掏錢購買付費內容以獲得更多的資源，以及招募無償勞動力打廣告，開發大量客戶。

至於在付費服務方面，銷售商不僅承諾提供功能更強大工具，譬如具備反檢測、反機器人、URL 加密等；甚至還供應客製化服務，供買家自行設定所需要的功能。

調查指出，根據功能不同，付費服務要價自每項10美元（折合新台幣約300元）至50美元（折合新台幣約1500元）不等。另外還針對部分罕見的客戶需求，例如專門設計假網站的軟體包，開出300美元（折合新台幣約9,000元）的高價。

除了一次性的工具包與個資，，銷售商同時也出售一系列的訂閱服務，支援客戶定期更新網路釣魚工具，或是提供一次性密碼（OTP）機器人，破解現在流行的雙重因素驗證（2FA）。

資料來源：Kaspersky

這篇文章 卡巴斯基：Telegram成銷售網路釣魚工具首選 最早出現於 科技島-掌握科技新聞、科技職場最新資訊。

編譯／鄭智懷 自ChatGPT推出以來，如何利用該軟體發動攻擊，以及建立反制之道成為資安界近來熱門話題之一。資 …

編譯／鄭智懷

自ChatGPT推出以來，如何利用該軟體發動攻擊，以及建立反制之道成為資安界近來熱門話題之一。資安業者卡巴斯基（Kaspersky）驗證ChatGPT對網路攻擊的了解程度，以及是否有助於辨別惡意軟體的研究發現，雖然該軟體略有缺憾，通報錯誤率卻只有千分之四。

該公司安全事件應變小組負責人Victor Sergeev指出，利用滲透測試工具如Mimikatz 和 Fast Reverse Proxy，針對ChatGPT是否能正確找出惡意軟體或網站的實驗顯示後者無法辨別勒索軟體WannaCry的雜湊函數（Hash Function）；而對於進階持續性滲透攻擊（APT），以及如FIN7等惡意網頁的分析，也無法精準提出其中問題。

在下一步測試中，ChatGPT一挽頹勢，從137個運作中的程式揪出2個潛藏其中的惡意軟體；識破惡意軟體的安裝，以及利用混淆技術躲避檢測的活動。

Victor Sergeev表示，總共3,577次測試中，ChatGPT只有17次誤報，錯誤率僅有千分之四。

對於本次實驗結果，Victor Sergeev認為，ChatGPT的加入有助於減少資安工作的開銷成本，而且確實只有相當低的錯誤率。同時，正確的問題也能協助研究者或開發者得到更有價值的答案。

然而，Victor Sergeev也警告，ChatGPT在實驗過程中所顯示的錯誤也不容忽視，特別是在其學習機制下可能會延續錯誤及放大類似問題所造成的影響。換言之，資安人員不應過度仰賴ChatGPT等基於大型語言模型（LLM）編寫的人工智慧（AI）工具。

Victor Sergeev接著提到，上傳機敏資料至ChatGPT等人工智慧工具也可能導致資料外洩，或是是否侵犯智慧財產權等各種問題，這些都是相關從業人員必須仔細思量的潛在風險。

資料來源：Dark Reading

這篇文章 <a>ChatGPT</a>擔綱資安分析師  研究員：偶有誤報 最早出現於 科技島-掌握科技新聞、科技職場最新資訊。