Siyah şapka tabanlı bir araç olan WormGPT, yakın zamanda siber suçlular tarafından piyasaya sürüldü ve çeşitli sosyal mühendislik ve İş E-postası Ele Geçirme (BEC) saldırıları gerçekleştirme potansiyeline sahip. Bu aracın kullanımına yönelik herhangi bir sınırlama yoktur ve sınırları yoktur.
Üretken yapay zekanın kullanımı son zamanlarda dikkate değer bir erişim gördü. ChatGPT’nin Kasım 2022’de kullanıma sunulmasıyla birlikte, birden çok amaç için oluşturulmuş ve iyileştirilmiş birkaç yapay zeka aracı ortaya çıktı. Ancak, Black Hats için özel olarak tasarlanmış yeni bir AI’nın piyasaya sürüldüğü bir zaman geliyor.
Genel olarak CEO dolandırıcılığı veya balina avcılığı olarak adlandırılan iş e-postası gizliliği ihlali, üst düzey yöneticileri veya güvenilir ortakları taklit ederek işletmelere saldırır.
WormGPT ile Devrim Yaratan BEC Saldırıları
Raporlara göre tehdit aktörleri, bir çalışanı hassas bilgiler vermeye ikna edecek kadar meşru görünen kötü amaçlı e-postalar oluşturmak için ChatGPT ve diğer yapay zeka tabanlı araçları kullanıyor.
Bir siber suç tartışmaları forumunda, tehdit aktörlerinin BEC e-postaları oluşturmak için ChatGPT’ye güvendiğine dair kanıtlar var. Diğer dillerde düşük akıcılığa sahip bilgisayar korsanları bile, bu tür saldırıları gerçekleştirmek için bu AI üretici e-postaları kullanabilir.
Başka bir tartışma, ChatGPT gibi araçlar için “Jailbreak”lerden bahsetti. Bunlar, ChatGPT’nin kullanım kapsamı dışında hassas bilgiler vermesini sağlayabilen özel olarak hazırlanmış istemlerdir. Hatta uygunsuz içerik sağlayabilir veya zararlı kodlar oluşturabilir.
SolucanGPT
SolucanGPT ayrıca, diğer GPT’lere kara şapka alternatifi olarak özel olarak tasarlandığı belirtilen bir siber suç tartışma forumunda da bulundu. Çeşitli özelliklere ve kod biçimlendirme yeteneklerine sahip GPTJ (Generative Pre-trained Transformer-J) dil modelleri ile tasarlanmıştır.
Hileli bir fatura ödemesi için bir hesap yöneticisine baskı yapmak üzere bir BEC e-postası oluşturmasının istendiği WormGPT ile yapılan bir deneyde. Sonuçlar, herhangi bir çalışanı ikna edecek inandırıcı, gramer hatasız ve ikna edici bir e-posta oluşturdukları için son derece zararlıydı.
Kuruluşların çalışanlarını bu tür kimlik avı e-postaları hakkında eğitmesi ve bu tür yapay zeka üreten e-posta tabanlı saldırıları önlemek için uygun e-posta filtrelerine sahip olması önerilir.