L’integrazione di Chat GPT a supporto del phishing: il nuovo modo di fare attacchi

Giuseppe Longobardi : 30 Marzo 2023 08:35

Si sente molto parlare di Intelligenza artificiale nell’ultimo periodo, sta spopolando la ormai nota soluzione di open.ai: Chat GPT. Le applicazioni possibili di questo strumento sono sostanzialmente illimitate, anche grazie alla sua naturale predisposizione all’integrazione mediante REST API in altre soluzioni.

Oggi parleremo proprio di integrazioni ma non come al solito, questa volta vedremo come sfruttare l’intelligenza artificale da vero hacker, di quelli col cappellaccio nero. 

Definiamo il contesto, cos’è l’intelligenza artificiale?

Prima di addentrarci nei meandri oscuri della soluzione sperimentale applicata al phishing, è necessario e propedeutico definire formalmente il ruolo dell’Intelligenza artificiale nel nostro mondo. Per poter capire cos’è l’Intelligenza artificiale, dobbiamo fare un bel passo indietro (chi più chi meno) ai cari tempi delle scuole superiori, in particolare sul concetto di “Funzione” che di fatto si contrappone al concetto di AI.

Vediamo perché:

• Una funzione è uno strumento matematico che dato un Input restituisce un output in base alla funzione stessa. Ad esempio: f(x) = 5 + x -> f (10) = 5 + 5 = 10. Come vediamo, fissato un valore della X avremo un valore risultante sempre coerente per la Y. Quindi in generale forniamo un Input ed otteniamo un output.
• L’intelligenza artificiale ha un altro caso d’uso. Dato un Input ed un output essa ci restituisce la funzione. Cerca di ricavare il processo decisionale che dato un input dell’utente porta poi all’output fornito. Questo serve per risolvere problemi simili in futuro, qualora l’AI sbagliasse gli sviluppatori possono “addestrarla” a rispondere meglio e specificando i motivi della loro correzione. In questo modo l’AI impara e fornisce risposte sempre più accurate man mano che viene addestrata.

Ecco qualche esempio in ambito HR:

• Uso una funzione per definire quali sono i parametri minimi per accettare un curriculum
• Uso l’Intelligenza artificiale per suggerire dei CV basandosi sui parametri dei curriculum dei dipendenti più performanti 

Ecco qualche esempio in ambito Automobilistico:

• Uso una funzione per definire la quantità di benzina iniettata nei cilindri in base al livello di pressione dell’acceleratore e allo stato di ABS, ASR ed ESP.
• Uso l’intelligenza artificiale per riconoscere le corsie e permettere alla vettura di mantenersi autonomamente al centro (lane Assist)

Nel caso appena descritto, le telecamere analizzano le immagini acquisite e le passano ad un modulo software integrato che le converte in un modello 2D. 

Questo modello 2D è perfettamente equivalente ad un videogioco in cui semplicemente viene attivata la funzionalità di “arriva automaticamente alla destinazione”. Quindi come possiamo vedere l’unica difficoltà è elaborare le immagini e da lì ricostruire un modello sul quale è possibile applicare delle funzioni che permettono all’auto di sterzare in autonomia (Lane Assist).

Come applichiamo l’intelligenza artificiale al phishing?!

Adesso che sappiamo cos’è l’intelligenza artificiale, vedremo come questa potrebbe risolvere alcune debolezze degli attacchi di phishing. Vediamo cosa caratterizza di solito una mail di phishing:

1. A volte non sono scritte in modo naturale
2. Spesso sono banali e/o già viste
3. Sono facilmente riconoscibili agli occhi di un esperto
4. Con all’intelligenza artificiale possiamo risolvere questo problema grazie a:
   • Generazione di contenuti grammaticalmente e formalmente perfetti
   • Contenuti on-demand sempre nuovi in Time to Market pari a 0
   • Grazie al machine learning possiamo adattare lo stile delle nostre mail al contesto mantenendo naturalezza

Progettiamo la soluzione

Risorse /Tecnologie:

1. Combo List da Deep Web
2. E-mail da altre fonti (ad Es. TheHarvester)
3. Un API KEY per accesso ai servizi REST API di Chat GPT
4. Un Software Ad Hoc sviluppato per l’invio di email di phishing in automatico
5. Un istanza di SET, Social Engineering Toolkit
6. Un istanza di Beef

Con questa soluzione è possibile attingere ad una vasta gamma di e-mail grazie alla presenza delle combo-list disponibili sul Deep Web. Le Combo List sono delle combinazioni di e-mail/password rubate dopo attacchi informatici.

Le e-mail presenti nelle combo possono essere usate sia come bersagli ma anche come vettori d’attacco, cioè possiamo usare delle e-mail di cui conosciamo le credenziali per inviare da lì e-mail di phishing senza correre il rischio di vederci bannati le nostre email personali. Le e-mail dalle quali partono gli attacchi possono cambiare continuamente, minimizzando il rischio che le nostre mail siano bloccate dai vari provider di posta.

Adesso abbiamo i destinatari ed anche i mittenti delle nostre e-mail di phishing, adesso ci serve l’oggetto ed il corpo della mail. Con il nostro software scritto in python appositamente per questo progetto integriamo Chat GPT mediante REST API, chiediamo a chat GPT di scriverci il corpo del messaggio e l’oggetto. 

Adesso abbiamo i destinatari, i mittenti, l’oggetto della mail ed il corpo della mail, adesso dobbiamo aggiungere il “payload” e/o il link che verrà usato per garantire l’accesso ai sistemi della vittima. Per questo grazie all’uso di Beef, generiamo una pagina web che se visitata permette all’attaccante di impartire dei comandi al browser della vittima (come ad esempio scattare screenshot, foto, video e altro).

Una volta che avremo il link, possiamo adoperare SET (Un tool che viene appositamente adoperato per attacchi di ingegneria sociale, come ad esempio mail di phishing). 

Diamo a Set In pasto i seguenti:

1. Lista di destinatari mediante un apposita lista definita sulla base delle combo list 
2. Dati di accesso dei mittenti più eventualmente alcune caselle di backup
3. Oggetto della mail e corpo della mail con link malevolo embeddato 

Dopo la ricezione di alcuni comandi da parte del nostro Python Software Controller, SET Invierà automaticamente le e-mail senza l’interazione dell’attaccante. Quando le vittime apriranno gli allegati o fanno click sul link il payload sarà eseguito e gli attaccanti prenderanno il controllo dei sistemi della vittima. Statisticamente parlando è sicuro che almeno una piccola quantità di utenti entreranno in contatto con la nostra soluzione, questo senza che l’hacker faccia il minimo sforzo dato che è tutto automatico. 

Il valore aggiunto di questa soluzione basata sulla generazione di contenuti grazie all’A.I. è proprio la completa autonomia nella generazione di nuovi contenuti di phishing, cosa che per gli ingegneri sociali ruba molto tempo e spesso i risultati non sono brillanti. 

Con l’intelligenza artificiale si apre una nuova era dell’ingegneria sociale.

Giuseppe Longobardi
CyberSecurity Manager e ICT Trainer, specializzato in Networking e CyberSecurity. Inventore della web app "OnionCert", registrata alla SIAE con N. Registrazione D000016744, ideatore del "Metodo Longobardi" per il Subnetting ed autore di svariati corsi di formazione in ambito Networking e CyberSecurity. Da sempre seguo progetti di ricerca e sviluppo in ambito Industry 4.0 , Smart City e Blockchain. Credo nello sviluppo continuo di nuove competenze, tecnologie e soluzioni open source. La mia filosofa di vita: "Se i tuoi progetti hanno come obiettivo 1 anno pianta del riso, 20 anni pianta un albero, un secolo insegna a degli uomini"