Die zwei Seiten von ChatGPT

ChatGPT ist in aller Munde, auch in denen von Hackern und Betrügern. Etwa um Täuschungen glaubwürdiger zu machen oder einfach die Anfangs-Begeisterung auszunützen. Neben klaren Warnungen, gibt es aber auch Beruhigung von Seiten der Experten. 

Eine Technologie kann noch so nützlich und „gut“ sein, dass sie nicht auch zur missbräuchlichen Verwendung aufruft. So passiert das aktuell mit dem KI-Chatbot ChatGPT, der sich als Einfallstor für Hacker und Scammer erweisen kann. Kaspersky-Experten haben eine laufende Malware-Kampagne entdeckt, die sich den Hype rund um ChatGPT zunutze macht. Dazu verbreiten Cyberkriminelle den Trojaner ‚Fobo‘, indem sie Gruppen in Facebook erstellen, die den offiziellen OpenAI-Konten zum Verwechseln ähnlich sehen, oder sich als Communities von ChatGPT-Begeisterten ausgeben. Diese betrügerischen Gruppen hosten scheinbar offizielle Beiträge mit Neuigkeiten über den Dienst und werben für ein Programm, das sich als Desktop-Client für ChatGPT ausgibt. Sobald die Nutzer auf den Link eines Beitrags klicken, werden sie auf eine gut gefälschte Webseite geleitet, die fast genauso aussieht wie die offizielle ChatGPT-Webseite. Die Seite fordert den Nutzer auf, eine angebliche ChatGPT-Version für Windows herunterzuladen. In Wirklichkeit ist das ein Archiv mit einer ausführbaren Datei. Nachdem der Installationsvorgang beginnt, bricht er abrupt mit einer Fehlermeldung ab, laut der das Programm nicht installiert werden konnte. Die Betroffenen denken dann wohl, dass das Programm einfach nicht installiert werden konnte und vergessen es. Tatsächlich setzt sich jedoch die Installation des Stealer-Trojaners, Trojan-PSW.Win64.Fobo, fort, ohne dass das Opfer etwas davon bemerkt. Dieser Trojaner zielt darauf ab, Informationen über gespeicherte Konten von verschiedenen Browsern zu stehlen, darunter Chrome, Edge, Firefox oder Brave. Die Angreifer sind speziell an den Cookies und Anmeldeinformationen von Facebook-, TikTok- und Google-Konten interessiert. Darya Ivanova, Sicherheitsexpertin bei Kaspersky, kommentiert die Malware-Kampagne wie folgt: „Diese Kampagne ist ein hervorragendes Beispiel dafür, wie Angreifer Social-Engineering-Techniken nutzen, um das Vertrauen auszunutzen, das Nutzer beliebten Marken und Diensten entgegenbringen. Nutzer müssen sich bewusst darüber sein, dass ein legitim aussehender Dienst nicht immer bedeutet, dass er es auch ist. Sie sollten sich stets über aktuelle Techniken und Taktiken von Cyberkriminellen informieren und wachsam sein, um sich vor Angriffen dieser Art zu schützen.“ Daher an dieser Stelle ein wichtiger Hinweis: ChatGPT ist ein reines Online-Tool und nur unter „chat.openai.com“ verfügbar. Es gibt derzeit keine mobilen oder Desktop-Apps für irgendein Betriebssystem.

Fast perfekte Täuschung.

Hacker nutzen ChatGPT auch gerne selbst um Phishing-Texte und einfache Schadprogramme schneller und besser automatisiert erstellen zu können. „Wirklich ausgefeilte neue Malware wird man damit dagegen vorerst nicht erstellen können. Und auch die Bedrohungslandschaft wird sich nicht wesentlich verändern, abgesehen von der erhöhten Häufigkeit“, erklärt Stanislav Protassov, Acronis Executive Board Member und Mitbegründer. „KI-Lösungen wie ChatGPT werden manchmal auch als ‚stochastische Papageien’ bezeichnet, weil sie als Sprachmodelle mit enormen Textmengen trainiert wurden und sie gut darin sind, schnell viele Texte zu generieren. Allerdings spielen Textinhalte bei Phishing-Angriffen eher selten allein die entscheidende Rolle. Während die Betrüger mit ChatGPT auch leichter Texte in anderen Sprachen generieren können, ist es nicht ausgemacht, dass diese damit auch besser bzw. überzeugender werden“, so Protassov. Seiner Meinung nach gibt es noch weitere Möglichkeiten, wie ChatGPT von Cyberkriminellen eingesetzt werden könnte. Unerfahrene Angreifer könnten die KI zur Analyse von Quellcodes und den Finden von Schwachstellen einsetzen. Das wäre grundsätzlich nicht Neues, es wäre nur schneller. Ebenso schneller könnte die Code-Automatisierung funktionieren. Auch wenn die ChatGPT-Richtlinien das Schreiben von Malware blockieren, sind einfachere Makros trotzdem möglich. Und letztendlich spielt es den Chatbots für Social Engineering-Angriffe in die Hände. Kompromittierung von Geschäfts-E-Mails, Liebesschwindeleien oder betrügerische Job-Portal-Anbahnungen, die mehrere Interaktionsrunden mit den Opfern erfordern, könnten leichter automatisiert und skaliert werden, weil sich diese Interaktionen für die Opfer wie echte Gespräche anfühlen, während die Kriminellen kaum noch persönlich eingebunden sind. Unternehmen und speziell Einzelpersonen können sich dennoch vor solchen Betrügereien schützen. Es gilt weiterhin auf die üblichen Täuschungsindikatoren – wie etwa verdächtige Dringlichkeitsbehauptungen. Genauso wie bestimmte Schlüsselbegriffe wie ‚dringend’, ‚Überweisung’, ‚sofort handeln’, ‚Passwort eingeben’ etc., zu achten. Mit ChatGPT wird es auch nicht auf neue, magische Weise möglich, den Anschein zu erwecken, dass eine E-Mail von einer Bank kommt. Die Betrüger werden weiterhin auf ihre altbewährten Methoden wie leicht verwechselbare E-Mail-Adressen und Domain-Namen zurückgreifen müssen. „Manchmal kann man scheinbar vernünftige Unterhaltungen führen. Aber es gibt dann ein einfaches Mittel, um zu erkennen, dass man nicht mit einem Menschen redet: Geben Sie unsinnige Aufforderungen ein! ChatGPT wird hier anders reagieren als ein Mensch und versuchen, den Prozess trotzdem zu verarbeiten und darauf – meist unsinnig – antworten“, erklärt Stanislav Protassov.

weitere aktuelle Meldungen