分類: 資安名詞

【證明你不是機器人】後,竟被植入銀行木馬竊帳密, CAPTCHA 驗證機制被網路釣魚利用接收惡意網站通知、竊個資!

趨勢科技 TrendMicro

頻繁的驗證會讓人感到厭煩，為了快速進入觀看頁面，很多人會不假思索地按下「我不是機器人」。但是誰在驗證你不是機器人? 有時候不見得是安全機制,而是更進化的網路釣魚騙術。近日又出現釣魚網站偽裝「我不是機器人」驗證機制，本文幫大家整理了一些案例，一起來增加對抗網路釣魚的免疫力吧！

追蹤趨勢科技 IG 帳號 FUN心學資安

最近（2024年9月）近日，許多 GitHub 使用者收到「專案程式碼存在嚴重安全漏洞」的釣魚郵件。郵件內容會引導使用者點擊一個惡意連結，進入頁面後會彈出一個類似 Google CAPTCHA 的驗證視窗，要求使用者打開 Windows PowerShell 執行命令來完成所謂的人機驗證，一旦執行，惡意程式就會悄悄潛入使用者系統，對其造成潛在威脅。

☞ 詳請請看Ｔ客邦報導：釣魚網站騙人新招：偽裝「我不是機器人」驗證機制、誘導用戶打開Windows執行惡意命令

2021年8月媒體報導指出有用戶點入一個網路流傳的連結網站準備觀看影片時，會跳出一個類似Google reCAPTCHA的圖形驗證,提示求用戶依序點入鍵盤中的指定鍵才能觀看。這其實是誘使用戶繞過瀏覽器的防護，同意下載安裝程式。當用戶依照提示按到Tab鍵時，就會使Chrome的「繼續」鍵呈現準備。而當用戶按下reCAPTCHA中的 Enter 鍵時，就會開啟以下載並執行 Gozi/Ursnif 銀行木馬,該惡意程式會竊取銀行帳密、下載更多惡意程式，並且遠端執行攻擊者的指令，已經超過百家義大利銀行客戶受害。

☞ 詳請請看 IT home 報導:Gozi/Ursnif銀行木馬利用假CAPTCHA繞過瀏覽器防護植入電腦 。

很多人答錯的資安問題系列，持續更新中
繼續閱讀

什麼是 Deepfake（深偽）？為什麼你我都可能成為受害者？ 辨識深偽視訊詐騙電話的五個祕訣

趨勢科技 TrendMicro

深偽（Deepfake）是近年最受注目的 AI 資安議題。
隨著生成式 AI 技術快速普及，詐騙集團利用 Deepfake 模仿聲音、臉部、甚至整段視訊，讓你在通話時無法立即分辨真假。
許多人搜尋深偽相關資訊時最常問：

  • Deepfake 真的能偽裝成「你認識的人」嗎？
  • 視訊電話詐騙怎麼用 AI 假冒？
  • 有什麼 AI 工具能幫我辨識深偽？
  • 我怎麼知道對方是不是在用換臉詐騙？

本篇，幫你一次看懂深偽詐騙，並學會如何用 AI 工具提升安全。

⟫ 看答案

深偽（Deepfake）指透過生成式 AI 變造的 聲音、影像或文字，讓內容看起來與真實無異。

AI 模型能：

  • 複製某人的聲音
  • 套用某人的臉
  • 模仿說話方式
  • 生成看似真實的視訊

這代表，只要詐騙集團取得你的照片、影片或錄音，就能假扮你或你身邊的人。

深偽一詞是「深度偽造」(Deepfake) 的簡稱，涵蓋了所有經過生成式 AI (GenAI) 變造的聲音、視覺或文字內容。會被網路犯罪集團用來獲取財務利益、欺騙與操縱他人。

深偽技術（Deepfake） 詐騙影片是使用人工智慧 (AI) 來產生模仿人們講話或動作的超逼真影片或音訊，就如同他們真的說過那些話或真的做過那些事情一樣。深偽技術正被歹徒用來從事視訊電話詐騙，對一般個人和企業機構都構成了嚴重風險。

當您在進行視訊電話時，您如何知道對方是否為真人，還使用深偽技術做出來的冒牌貨？在一個充斥著深偽的世界，眼見不再為憑，所以，認識及對抗這類技術所帶來的風險，比以往更加重要。欲了解什麼是深偽，以及如何辨識，請參閱這篇「深偽Deepfak是什麼？」(Deepfake 101) 貼文。

繼續閱讀

AI換臉真假難辨？六招辨別深偽(Deepfake)詐騙影片

趨勢科技 TrendMicro

「深偽」(Deepfake) 一詞是深度學習 (deep learning) 與偽造 (fake) 的合體，由 Reddit 的一名使用者在 2017 年所創。深偽可以是一個模仿某人外貌或聲音的偽造照片、影片或錄音，其目的是要用於欺騙或娛樂大眾。在先進的機器學習加持下，深偽有時非常逼真。過去，深偽主要是在社群媒體上作為娛樂用途，但其濫用的潛力很快就被人發現。現在，深偽已成為隱私、安全及資訊傳播的一大威脅。趨勢科技在 2024 年 6 月做了一份研究指出，有 71% 的人對於深偽抱持負面的看法，相信任人們製作深偽的首要原因就是為了詐騙1。


深偽是如何製作的？


製作深偽需要用到一種叫做「生成對抗網路」(Generative Adversarial Network，簡稱 GAN) 的高階電腦程式來製作逼真的影像。主要分成四大步驟：

繼續閱讀

AI PC 時代,如何保護 AI 模型不被惡意篡改?

趨勢科技 TrendMicro

本文討論正確偵測並適當保護 AI 模型檔案及相關資產 （例如「標籤-labels」） 以防止遭到惡意篡改或非預期變更的重要性

AI PC 時代,如何保護 AI 模型不被惡意篡改?

AI 個人電腦 (PC) 是一種同時具備中央處理單元 (CPU)、繪圖處理單元 (GPU) 以及神經處理單元 (GPU) 的電腦，其中新增的 NPU 可提升 PC 的能力，讓 AI 應用程式高效率地在本地端執行，除了可以不須隨時連上網際網路之外，同時也避免掉雲端服務與雲端 AI 解決方案天生的隱私權疑慮。

本地端 AI 模型可以讓 AI 模型針對特定應用而客製化，並與工作流程整合。此外，本地端 AI 模型也讓網頁式或混合式應用程式能將一部份的運算保留在本機上執行。相較於完全仰賴線上或網頁式服務，這麼做可節省應用程式或服務供應商的儲存空間與運算成本。

AI 模型有多種不同格式，最流行的有：Open Neural Network Exchange (ONNX) 、PyTorch 、Keras 及 Tensorflow。本文主要討論 ONNX 格式，這是目前最常見的 AI 模型格式，因為它屬於開放標準，並且獲得了許多機構的支持，包括：Linux Foundation、Microsoft 以及多家主要 AI 廠商。正因為這樣，所以 ONNX AI 模型可直接在很多不同的軟體與硬體平台上使用。Microsoft 在最近剛結束的 Microsoft Build 研討會上一再提到了 ONNX，不意外地，未來 Copilot+ AI PC 搭載的 Phi-3-mini小型語言模型 (SLM) 也將採用  ONNX 格式。

繼續閱讀