โฆษณาบน Instagram ที่แอบอ้างเป็นสถาบันการเงินอย่าง Bank of Montreal (BMO) และ EQ Bank (Equitable Bank) กำลังถูกนำมาใช้เป็นเครื่องมือหลอกลวงผู้บริโภคชาวแคนาดาผ่านวิธีการฟิชชิ่ง และการหลอกลงทุน

โดยบางโฆษณาใช้วิดีโอ AI-powered deepfake เพื่อหลอกขอข้อมูลส่วนบุคคล ขณะที่บางโฆษณานำโลโก้ และภาพลักษณ์ของธนาคารมาใช้ เพื่อชักจูงผู้ใช้ออกจากแพลตฟอร์มไปยังเว็บไซต์ปลอมที่เลียนแบบธนาคาร แต่ไม่ได้มีความเกี่ยวข้องกับสถาบันการเงินจริงแต่อย่างใด

โฆษณาปลอมเลียนแบบแบรนด์ธนาคารจนผู้ใช้ยากจะสังเกต

นักวิจัยพบโฆษณาหลายรายการบน Instagram ที่ดูเหมือนจะมาจากธนาคารแคนาดา แต่แท้จริงแล้วเป็นกลลวง

ตัวอย่างหนึ่งคือโฆษณาที่อ้างว่าเป็นของ "Eq Marketing" ซึ่งเลียนแบบเอกลักษณ์ และโทนสีของ EQ Bank ได้อย่างแนบเนียน พร้อมทั้งเสนออัตราดอกเบี้ยที่สูงเกินจริงถึง "4.5%"

อย่างไรก็ตาม หากคลิกเข้าไป ระบบจะนำผู้ใช้ไปยังเว็บไซต์ปลอม RBCpromos1[.]cfd ซึ่งไม่ได้มีความเกี่ยวข้องใด ๆ กับ EQ Bank และมีเป้าหมายเพื่อขโมยข้อมูลบัญชีธนาคารของผู้ใช้งาน

ตัวอักษร “RBC” ที่ปรากฏในชื่อโดเมนฟิชชิ่งแสดงให้เห็นว่า โดเมนนี้อาจเคยถูกใช้ในแคมเปญหลอกลวงอื่น ๆ ที่มุ่งเป้าไปยังลูกค้าของ RBC หรือ Royal Bank of Canada หนึ่งในธนาคารรายใหญ่ที่สุดของแคนาดา

เมื่อผู้ใช้คลิกที่ “Yes, continue with my account” ระบบจะนำไปยังหน้าล็อกอินปลอมของ “EQ Bank” ซึ่งมีจุดประสงค์เพื่อขโมยข้อมูลเข้าสู่ระบบของธนาคาร

โดยโฆษณาที่ถูกต้องของ EQ Bank ซึ่งเคยพบในแพลตฟอร์มอย่าง Reddit จะนำผู้ใช้ไปยังเว็บไซต์ทางการ eqbank.

กลุ่มแฮ็กเกอร์ที่มีชื่อเสียงอย่าง FIN7 ได้เปิดตัวเครือข่ายเว็บไซต์ปลอมที่ใช้เทคโนโลยี AI ในการสร้างภาพนู้ดปลอม เพื่อใช้ในการแพร่กระจายมัลแวร์ที่ขโมยข้อมูลให้กับผู้เข้าใช้งานเว็บไซต์

FIN7 เป็นกลุ่มแฮ็กเกอร์ชาวรัสเซียที่ได้ดำเนินการฉ้อโกงทางการเงิน และอาชญากรรมทางไซเบอร์มาตั้งแต่ปี 2013 โดยมีความเชื่อมโยงกับกลุ่มแรนซัมแวร์ เช่น DarkSide, BlackMatter และ BlackCat ซึ่งเมื่อไม่นานมานี้ได้ทำการหลอกลวงเครือข่ายพันธมิตร ด้วยการขโมยเงินค่าไถ่จำนวน 20 ล้านดอลลาร์ที่ได้มาจาก UnitedHealth

FIN7 เป็นที่รู้จักในด้านการโจมตีแบบฟิชชิ่ง และการใช้เทคนิค social engineering ที่ซับซ้อน เช่น การปลอมตัวเป็น BestBuy เพื่อส่ง USB keys ที่มีมัลแวร์ หรือการสร้างบริษัทความปลอดภัยปลอมเพื่อจ้างนักทดสอบระบบความปลอดภัย (pentesters) และนักพัฒนาซอฟต์แวร์มาทำการโจมตีด้วยแรนซัมแวร์โดยที่พวกเขาไม่รู้ตัว

ดังนั้นจึงไม่น่าแปลกใจที่พบว่าพวกเขาได้ถูกเชื่อมโยงกับเครือข่ายเว็บไซต์ ที่อ้างว่ามีโปรแกรมสร้างภาพเปลือยที่ขับเคลื่อนด้วย AI โดยอ้างว่าสามารถสร้างภาพเปลือยปลอมจากภาพถ่ายของบุคคลที่สวมใส่เสื้อผ้าได้

เทคโนโลยีนี้เป็นที่ถกเถียงกันอย่างมากเนื่องจากอาจสร้างความเสียหายให้กับผู้ถูกกระทำโดยการสร้างภาพที่ไม่เหมาะสมโดยไม่ได้รับความยินยอม และในหลายประเทศทั่วโลกเทคโนโลยีนี้ถูกห้ามใช้อย่างเด็ดขาด อย่างไรก็ตาม ความสนใจในเทคโนโลยีนี้ยังคงมีอยู่มาก

เครือข่ายของ deepnude generators

เว็บไซต์ deepnude ปลอมของ FIN7 ทำหน้าที่เป็นกับดักสำหรับผู้ที่สนใจในการสร้างภาพเปลือยปลอมของคนดังหรือบุคคลอื่น ๆ ในปี 2019 ผู้โจมตีได้ใช้เว็บไซต์คล้ายกันนี้ในการแพร่กระจายมัลแวร์ขโมยข้อมูล แม้จะเป็นช่วงก่อนที่ AI จะมีการเติบโตอย่างรวดเร็ว

เครือข่าย deepnude generators นี้ดำเนินการภายใต้แบรนด์เดียวกันที่ชื่อว่า "AI Nude" และถูกโปรโมตผ่านเทคนิค black hat SEO เพื่อดันให้เว็บไซต์เหล่านี้ติดอันดับสูงในการค้นหา

ตามรายงานของ Silent Push กลุ่ม FIN7 อยู่เบื้องหลังการดำเนินการเว็บไซต์ต่าง ๆ เช่น "aiNude[.]ai", "easynude[.]website" และ nude-ai[.]pro" โดยตรง ซึ่งเสนอ "การทดลองใช้ฟรี" หรือ "ดาวน์โหลดฟรี" แต่ในความเป็นจริงแล้ว FIN7 เพียงใช้เว็บไซต์เพื่อแพร่กระจายมัลแวร์

เว็บไซต์ทั้งหมดใช้การออกแบบที่คล้ายกันซึ่งรับประกันว่าสามารถสร้างภาพเปลือย AI ได้ฟรีจากรูปถ่ายที่อัปโหลดขึ้นไป

เว็บไซต์ปลอมเหล่านี้อนุญาตให้ผู้ใช้สามารถอัปโหลดรูปถ่ายที่ต้องการสร้างเป็นภาพ deepfake นู้ดได้ อย่างไรก็ตาม หลังจากที่อ้างว่าภาพ "deepnude" ได้ถูกสร้างขึ้นแล้ว ภาพนั้นจะไม่แสดงบนหน้าจอ แต่ผู้ใช้จะได้รับแจ้งให้คลิกลิงก์เพื่อดาวน์โหลดภาพที่สร้างขึ้น

เมื่อคลิกลิงก์ดังกล่าว ผู้ใช้จะถูกพาไปยังอีกเว็บไซต์หนึ่งที่แสดงรหัสผ่าน และลิงก์สำหรับไฟล์ที่ถูกป้องกันด้วยรหัสผ่านซึ่งถูกโฮสต์บน Dropbox แม้ว่าปัจจุบันเว็บไซต์นี้ยังคงทำงานอยู่ แต่ลิงก์ Dropbox นั้นไม่สามารถใช้งานได้แล้ว

อย่างไรก็ตาม แทนที่จะเป็นภาพ deepnude ไฟล์ที่ถูกเก็บอยู่ในไฟล์ archive นั้น แท้จริงแล้วคือมัลแวร์ขโมยข้อมูลที่ชื่อ Lumma Stealer เมื่อถูกเรียกใช้งาน มัลแวร์นี้จะขโมยข้อมูล credentials และคุกกี้ที่ถูกบันทึกในเว็บเบราว์เซอร์, กระเป๋าเงินคริปโต และข้อมูลอื่น ๆ จากคอมพิวเตอร์

Silent Push ยังพบว่าเว็บไซต์บางแห่งโปรโมตโปรแกรมสร้าง deepnude สำหรับระบบ Windows ซึ่งจะติดตั้งมัลแวร์ Redline Stealer และ D3F@ck Loader แทน โดยมัลแวร์เหล่านี้ก็ใช้ในการขโมยข้อมูลจากอุปกรณ์ที่ถูกโจมตีเช่นกัน

เว็บไซต์ทั้งเจ็ดที่ Silent Push ตรวจพบได้ถูกปิดไปแล้ว แต่ผู้ใช้ที่อาจดาวน์โหลดไฟล์จากเว็บไซต์เหล่านี้ควรพิจารณาว่าตนเองอาจติดมัลแวร์แล้ว

แคมเปญ FIN7 อื่น ๆ

Silent Push ยังตรวจพบแคมเปญอื่น ๆ ของ FIN7 ที่ปล่อยมัลแวร์ NetSupport RAT ผ่านเว็บไซต์ที่หลอกให้ผู้เข้าชมติดตั้ง extension ของเบราว์เซอร์

ในกรณีอื่น ๆ FIN7 ใช้ payloads ที่ดูเหมือนจะปลอมแปลงเป็นแบรนด์ และแอปพลิเคชันที่เป็นที่รู้จัก เช่น Cannon, Zoom, Fortnite, Fortinet VPN, Razer Gaming, และ PuTTY

Payloads เหล่านี้อาจถูกแพร่กระจายไปยังเหยื่อโดยใช้กลยุทธ์ SEO และการโฆษณาที่มีมัลแวร์หลอกให้เหยื่อดาวน์โหลดโปรแกรมติดตั้งที่แฝงโทรจันไว้

FIN7 ถูกเปิดโปงเมื่อไม่นานมานี้จากการขายเครื่องมือ "AvNeutralizer" ที่พัฒนาขึ้นเพื่อปิดการทำงานของระบบ EDR ให้กับอาชญากรไซเบอร์อื่น ๆ โดยมุ่งเป้าไปที่พนักงานไอทีของผู้ผลิตรถยนต์ในการโจมตีแบบฟิชชิ่ง และได้ใช้แรนซัมแวร์ Cl0p ในการโจมตีองค์กรต่าง ๆ

ที่มา : https://www.