محققان حوزه امنیت سایبری اخباری از یک پلتفرم فیشینگ با مدیریت انسانی انتشار دادند که با جعل محصولات تبلیغاتی مربوط به بات های هوش مصنوعی مانند Google Gemini، Anthropic Claude، OpenAI ChatGPT، Perplexity، Meta Muse و Manus، کاربران را مورد حمله قرار میدهند.
این محصول ها مدعی هستند یک سری خدمات مثل بررسی هزینه ها را انجام میدهند اما در وقع هدف اصی آن ها دزدین اطلاعات ورود و کدهای احراز هویت است.[منبع]
حمله Browser-in-the-Browser یا BitB چیست؟
این دزدی اطلاعات با استفاده از روشی به نام Browser-in-the-Browser یا BitB انجام میشود. یعنی، یک پنجره جعلی داخل مرورگر واقعی و اصلی کاربر نمایش داده شده ونوار آدرس این پنجره جعلی و غیراصلی میتواند آدرسهای معتبری مثل accounts.google.com یا یک حساب Okta را نشان دهد، در حالی که مرورگر اصلی همچنان در سایت فیشینگ قرار دارد.
دکمه Connect چگونه حمله فیشینگ را آغاز میکند؟
طبق آخرین گزارشات از پژوهشگران Island که تمام این محصولات تقریباً با یک راه و روش یکسان کار میکنند: با استفاده ازیک دکمه با عنوان Connect. چون زمانی که کاربر روی آن کلیک میکند، پنجره مرورگر جعلی داخل مرورگر اصلی باز میشود.
سرقت رمز عبور و کدهای MFA از کاربران هوش مصنوعی
در پشت صحنه ، پلتفرم تلاش های کاربر برای ورود با رمز عبور را ثبت کرده، اطلاعات مربوط به دستگاهش را جمع آوری میکند و به حمله کننده اجازه میدهد مشخص کند کاربر در مرحله بعد چه نوع درخواست MFA را مشاهده کند.
سایت جعلی Muse Ads چگونه کاربران را هدف قرار میدهد؟
یکی از سایتهای شناسایی شده، museads.ai است که در تاریخ ۱۶ سپتامبر ۲۰۲۶ ظاهر شد؛ حدودا بعد از یک هفته پس از معرفی Muse توسط Meta. این سایت خود را بعنوان یک مدیر تبلیغات هوش مصنوعی برای مدیریت تبلیغات معرفی کرد و ادعا داشت به مشتریان کمک میکند خریداران خود را پیدا کنند، حسابهای تبلیغاتی را متصل کنند و تبلیغات پولی مدنظر اجرا شوند.
این صفحه جعلی، یک بخش با عنوان Prompt Box و یک دکمه Connect دارد که با کلیک روی این دکمه، حمله BitB آغاز میشود و اطلاعات ورود به حسابهای Google، Meta، TikTok و Okta سرقت می شوند.
جعل Google، Meta، TikTok و Okta در یک کمپین فیشینگ
در این فرآیند به صورت عادی یک پنجره ورود جعلی نمایش داده میشد که نوار آدرس آن یک دامنه معتبر، مانند accounts.google[.]com را نشان میداد. در همین حین، اطلاعات دستگاه قربانی در پسزمینه ماجرا جمع آوری شده و برای مهاجم ارسال می شد. بعد از این تبادل اطلاعات قربانی و دستورات مهاجم بر اساس روند ورود به حساب را داشتیم.
مهاجمان پس از سرقت رمز عبور چه میکنند؟
مهاجم پس از بدست آوردن نام کاربری و رمز عبور، تلاش میکرد تا وارد حساب قربانی شود.
پژوهشگران اعلام کردند که تمامی برند ها در این کمپین با یک ظاهر و پیشنهاد متفاوت مورد جعل واقع شدند.به عنوان مثال، ChatGPT یک گزارش تبلیغاتی هفتگی Google Ads را وعده میدهد و Gemini امکانات مربوط به حساب های مدیریتی و مشتریان متصل را مطرح میکند.
مهاجمان چگونه کاربران را به صفحات فیشینگ میکشانند؟
این روند به این صورت است که کاربران با ایمیل دعوت غیرواقعی به این صفحات هدایت شده و این ایمیل ها خودشان را به عنوان برندهای معتبر و معروف مطرح میکنند تا سایت های فیشینگ واقعی دیده شوند.