Изглежда, че изкуственият интелект помага на измамници с малко умения в уеб разработката да създават убедителни фалшиви страници за подновяване на антивирусен софтуер, откриха от Malwarebytes.
Изследователите попаднаха на измамническа страница, представяща се за Avast и насочена към потребители в Белгия, която беше по-изпипана от повечето сайтове от този тип. Страницата уведомяваше посетителите, че техният абонамент за Avast Premium Security е бил подновен за 129,99 евро, покрива пет устройства и ще се поднови отново през февруари. Зелена отметка стоеше до значка с текст „Активен“, а обобщаваща таблица показваше сумата, начина на плащане и датите.
Фалшива страница за подновяване на Avast Premium Security (Източник: Malwarebytes)
„Нищо от това не е истинско“, отбеляза Стефан Дашич, старши инженер по изследване на зловреден софтуер в Malwarebytes. „Няма абонамент и няма таксуване, а страницата няма никаква връзка с Avast, чиято марка се използва без разрешение.“
Как работи измамата
Измамите с подновяване на антивирусен софтуер обикновено започват със съобщение, твърдящо, че абонаментът вече е бил подновен. Всеки, който следва инструкциите за отмяната му, попада на страница, създадена вместо това да събира данни за контакт.
Под фалшивото резюме за подновяване имаше форма за отказ, изискваща име, имейл адрес и белгийски мобилен номер.
„Форма, изискваща само име, имейл адрес и телефонен номер, може да изглежда безвредна и се попълва много по-лесно от страница за вход“, написа Дашич. Работещ телефонен номер, свързан с истинско име, е това, от което се нуждае киберпрестъпникът за следващия етап – телефонно обаждане от някой, представящ се за служител по поддръжката, който се опитва да убеди жертвата да инсталира софтуер за отдалечен достъп или да помогне за „възстановяване“ на плащане, което никога не е било извършвано.
Malwarebytes по-рано съобщи, че отговорът на измамнически SMS повишава стойността на телефонния номер на престъпните пазари, тъй като потвърждава, че линията е активна и човекът зад нея е склонен да комуникира.
Знаци, че страницата е създадена с AI
В кода на страницата бяха оставени две бележки, написани на френски език и адресирани до този, който е поръчал работата, обясняващи, че формата не изпраща данни никъде и че процесът по изпращане ще трябва да бъде свързан по-късно.
„Те звучат като изпълнител, който предава незавършена работа, а не като атакуващ, който си оставя напомняне“, каза Дашич, като добави, че любезното резюме във второ лице за това какво все още трябва да се направи „много напомня на начина, по който AI асистент завършва работата си“.
Кодът съдържаше и остатъчно стилизиране от секция, която е била изтрита, което подсказва, че страницата е преминала през няколко кръга от промени без финален преглед, а текстът, описващ ползите от абонамента, се разпростираше в четири параграфа, без да назовава нито една конкретна функция, като защитна стена (firewall) или VPN.
„Взети заедно, тези знаци показват, че страницата е създадена с помощта на AI. Генерираният код не носи воден знак, така че това не може да бъде доказано само от файловете.“
Незавършен шаблон
Коментарите в кода обясняват, че формата не е изпращала абсолютно нищо. Два текста щяха да се появят като видим неразбираем текст, ако някой беше отворил страницата в браузър, за да я провери, което показва, че никой не го е направил.
Дашич заключи, че страницата най-вероятно е била полуизградена или е възможно да е шаблон, предназначен за препродажба на някой, който би я свързал с крайна дестинация за откраднатите данни.
Създаването на толкова убедителна страница в миналото изискваше известни умения за дизайн и кодиране, което ограничаваше честотата, с която такива страници можеха да се произвеждат. Който и да е създал тази, би могъл да поиска версия на нидерландски или немски език, или такава, насочена към различна марка, и да я има за броени минути.
„Старият съвет беше да се търсят грешки, лоша граматика, грешна валута, тромава подредба или разтеглено лого“, добави Дашич. „Този съвет вече е по-малко полезен, тъй като AI може да произвежда грамотен текст и изпипани оформления, докато измамниците могат лесно да копират истински лога.“ Страница, която изглежда професионално, вече не е доказателство, че е автентична.