HackerNews 编译，转载请注明出处： Tycoon 2FA 是一款知名的钓鱼即服务（PhaaS）工具集，它允许网络犯罪分子大规模实施中间人（AitM）式凭证窃取攻击。如今，该平台已被多国执法机构与安全公司组成的联合行动小组摧毁。 这款基于订阅模式的钓鱼工具套件最早于 2023 年 8 月出现，欧洲刑警组织将其描述为全球规模最大的钓鱼犯罪活动之一。该工具通过 Telegram 和 Signal 出售，起步价为 10 天使用权 120 美元，或一个月网页版管理面板访问权限 350 美元。据称，Tycoon 2FA 的主要开发者是居住在巴基斯坦的萨阿德・弗里迪（Saad Fridi）。 该管理面板是配置、追踪和优化钓鱼活动的核心中枢。它内置预制模板、常用诱饵格式的附件文件、域名与托管配置、重定向逻辑以及受害者追踪功能。操作者还可以配置恶意内容通过附件进行分发的方式，并监控有效与无效的登录尝试。 窃取到的信息包括账号凭证、多因素认证（MFA）验证码和会话 Cookie 等，这些信息既可以在面板内直接下载，也可以转发到 Telegram 中进行近乎实时的监控。 欧洲刑警组织表示：“该平台使数千名网络犯罪分子能够秘密访问电子邮件和云服务账户。在大规模运作下，该平台每月生成数千万封钓鱼邮件，并协助攻击者未经授权访问全球近 10 万家机构，其中包括学校、医院和公共机构。” 作为此次联合行动的一部分，支撑该犯罪服务的 330 个核心域名（包括钓鱼页面和控制面板）已被关停。 情报机构 Intel 471 将 Tycoon 2FA 定性为 “危险” 平台，并表示该工具套件与超过 64,000 起钓鱼事件及数万个域名相关联，每月产生数千万封钓鱼邮件。微软公司正在以代号 Storm-1747 追踪该服务的运营者，微软称，Tycoon 2FA 成为其在 2025 年观测到的最活跃攻击平台，并促使其在 2025 年 10 月拦截了超过 1300 万封与该恶意软件服务相关的恶意邮件。 截至 2025 年年中，Tycoon 2FA 占到了微软拦截的所有钓鱼攻击尝试的约 62%，其中单月邮件量就超过 3000 万封。这家科技巨头补充称，自 2023 年以来，该服务已在全球造成约 96,000 名 distinct 钓鱼受害者，其中包括超过 55,000 名微软客户。 网络安全公司 SpyCloud 对受害者日志数据的地理分析显示，美国是已确认受害者最集中的地区（179,264 人），其次是英国（16,901 人）、加拿大（15,272 人）、印度（7,832 人）和法国（6,823 人）。 这家网络安全公司表示：“绝大多数被攻击的账户都是企业管理账户，或与付费域名相关联，这进一步证实了一个结论：Tycoon 2FA 主要针对商业环境，而非个人消费者账户。” 网络安全公司 Proofpoint 的数据显示，Tycoon 2FA 是流量规模最大的中间人钓鱼威胁来源。这家电子邮件安全厂商称，仅在 2026 年 2 月，它就监测到超过 300 万条与该钓鱼工具相关的消息。作为此次行动的私营部门合作伙伴之一，趋势科技（Trend Micro）指出，该钓鱼即服务平台拥有约 2000 名使用者。 利用 Tycoon 2FA 发起的钓鱼活动几乎不加区分地针对所有行业，包括教育、医疗、金融、非营利组织和政府部门。通过该工具发送的钓鱼邮件每月覆盖全球超过 50 万家机构。 微软表示：“Tycoon 2FA 平台使威胁行为人能够模仿微软 365、OneDrive、Outlook、SharePoint 和 Gmail 等服务的登录页面，从而冒充可信品牌。” “它还允许使用该服务的威胁行为人实现持久化控制，即使用户重置了密码，也能继续访问敏感信息，除非活跃会话和令牌被显式吊销。这种效果的实现原理是，在身份认证过程中拦截生成的会话 Cookie，同时捕获用户凭证。随后，多因素认证验证码会通过 Tycoon 2FA 的代理服务器中转到目标认证服务。” 该工具套件还采用了多种技术来规避检测，包括按键记录监控、反机器人筛选、浏览器指纹识别、高强度代码混淆、自建验证码、自定义 JavaScript 以及动态诱饵页面等。另一个关键特点是，它大量使用各类顶级域名（TLD）和短期有效完全限定域名（FQDN），并依托 Cloudflare 搭建钓鱼基础设施。 这些完全限定域名通常仅存活 24 到 72 小时，这种快速轮换是故意为之，目的是增加检测难度，并阻止安全机构建立可靠的拦截黑名单。微软还将 Tycoon 2FA 的成功归因于其高度模仿合法认证流程，从而隐秘拦截用户凭证和会话令牌。 更糟糕的是，Tycoon 2FA 的客户还使用一种名为 “账户接管跳跃”（ATO Jumping）的技术，即利用已攻陷的电子邮件账户分发 Tycoon 2FA 钓鱼链接，并尝试发起更多账户接管攻击。Proofpoint 指出：“使用这种技术能让邮件看起来像是真正来自受害者信任的联系人，从而提高攻击成功的可能性。” 像 Tycoon 这样的钓鱼工具套件在设计上具备高度灵活性，既能让技术能力不强的攻击者轻松使用，同时也能为更有经验的操作者提供高级功能。 Proofpoint 高级威胁研究员赛琳娜・拉尔森（Selena Larson）在向《黑客新闻》提供的声明中表示：“2025 年，99% 的机构遭遇了账户接管攻击尝试，67% 的机构发生了成功的账户接管事件。在这些被攻陷的账户中，59% 已经启用了多因素认证。虽然并非所有这些攻击都与 Tycoon 2FA 有关，但这一数据凸显了中间人钓鱼对企业造成的巨大影响。” “这些能够实现完全账户接管的网络攻击可能导致灾难性后果，包括勒索软件感染或敏感数据泄露。随着威胁行为人持续将身份攻击作为重点，获取企业电子邮件账户的访问权限，往往是一条可能带来毁灭性后果的攻击链的第一步。”     消息来源：thehackernews.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员发出警告，称有一个新的攻击活动正利用 FileFix 社会工程学策略的变种，传播用于 StealC 恶意软件。 安克诺斯（Acronis）的安全研究员埃利亚德・金希在提交给《黑客新闻》的报告中表示：“观察到的该攻击活动，使用了极具迷惑性的多语言钓鱼网站（例如伪造的 Facebook 安全页面），并借助反分析技术与高级混淆手段躲避检测。” 从整体流程来看，攻击链的核心是利用 FileFix 诱导用户启动初始载荷，随后该载荷会从 Bitbucket 代码仓库下载看似无害的图像文件，但实际上这些图像中隐藏着恶意组件。攻击者借此滥用大众对这一合法代码托管平台的信任，从而绕过安全检测。 FileFix 最早由安全研究员 mrd0x 在 2025 年 6 月记录为概念验证（PoC）工具，它与 ClickFix 存在区别：在专门搭建的钓鱼页面上，ClickFix 需要用户打开 Windows “运行” 对话框，并粘贴已复制的混淆命令来完成虚假的验证码验证；而 FileFix 则无需这一步骤。FileFix 利用网页浏览器的文件上传功能，欺骗用户将一条命令复制粘贴到文件资源管理器的地址栏中，进而在受害者的设备上本地执行该命令。 攻击的开端是一个钓鱼网站，受害者很可能通过一封邮件被重定向至该网站。邮件中会警告收件人：其 Facebook 账号因分享的帖子或消息违反平台政策，将在一周后被暂停使用，并要求用户点击按钮对该处罚提出申诉。 该钓鱼页面不仅经过高度混淆处理，还采用了垃圾代码、代码分片等技术，阻碍安全人员的分析工作。 用户点击申诉按钮后，FileFix 攻击便正式启动：页面会向用户提示，若要查看所谓 “违规政策” 的 PDF 版本，需将一个文件路径复制粘贴到文件资源管理器的地址栏中。 尽管说明中提供的路径看似完全无害，但点击 “复制” 按钮时，实际复制的是一条后缀带有多余空格的恶意命令。当用户通过 “打开文件资源管理器” 按钮打开窗口并粘贴内容时，屏幕上只会显示文件路径（恶意部分被隐藏）。 这条命令是一个多阶段的 PowerShell 脚本，其作用包括：下载上述隐藏恶意组件的图像文件、将图像解码为下一阶段的载荷，最终运行一个基于 Go 语言开发的加载器 —— 该加载器会解包用于启动 StealC 恶意软件的外壳代码（shellcode）。 相较于 ClickFix，FileFix 还具备一项关键优势：它滥用的是浏览器中广泛使用的基础功能，而非打开 “运行” 对话框（针对苹果 macOS 系统则是打开终端应用）。而 “运行” 对话框或终端常被系统管理员设为安全防护措施的拦截对象。 不过安克诺斯指出：“另一方面，ClickFix 最初难以被检测的原因之一，在于它是通过‘运行’对话框从 Explorer.exe 进程启动，或直接从终端启动；而 FileFix 的载荷由受害者使用的网页浏览器执行，这一行为在调查过程中，或在安全产品的检测中，更容易被识别出来。” “发起此次攻击的攻击者在攻击技术上投入巨大，他们精心设计了钓鱼基础设施、载荷交付流程及配套组件，以最大限度地实现躲避检测与攻击效果。” 与此同时，网络安全公司 Doppel 也披露了另一起攻击活动：该活动结合了伪造的技术支持门户、Cloudflare 验证码错误页面与剪贴板劫持（即利用 ClickFix），通过社会工程学手段诱使受害者运行恶意 PowerShell 代码 —— 这些代码会下载并执行一个 AutoHotkey（AHK）脚本。 该 AHK 脚本的设计目的包括：收集受感染设备的信息（设备画像），并传播更多载荷，例如远程控制软件 AnyDesk、TeamViewer，以及信息窃取软件、剪贴板劫持恶意软件（clipper malware）等。 Doppel 表示，还观察到该攻击活动的其他变种：受害者被诱导运行一条 MSHTA 命令，该命令指向一个仿冒谷歌的域名（如 “wl.google-587262 [.] com”），随后从该域名获取并执行远程恶意脚本。 Doppel 的安全研究员阿尔什・贾瓦（Aarsh Jawa）指出：“AutoHotkey（AHK）是基于 Windows 系统的脚本语言，最初用于自动化重复操作，例如模拟键盘输入、鼠标点击等。” “尽管长期以来，高级用户与系统管理员因其简洁性和灵活性而广泛使用 AHK，但早在 2019 年左右，攻击者就开始将其武器化，用于制作轻量级恶意软件加载器与信息窃取工具。这些恶意脚本通常伪装成无害的自动化工具或技术支持程序。”   消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员发现，黑客正日益滥用AI驱动的建站托管平台Lovable批量生成钓鱼页面、恶意软件分发门户及各类欺诈网站。这些通过该平台创建的恶意网站通过仿冒知名品牌，并设置验证码（CAPTCHA）等流量过滤系统阻挡机器人检测。 尽管Lovable已采取措施防范平台滥用，但随着AI建站工具激增，网络犯罪的技术门槛持续降低。 Lovable平台攻击活动分析 网络安全公司Proofpoint表示，自2025年2月以来“已观测到数万个Lovable生成的恶意链接”通过电子邮件传播。研究人员在最新报告中披露了四类滥用该平台的攻击活动： 1、Tycoon钓鱼即服务攻击 攻击邮件包含托管于Lovable的链接，用户通过验证码后会被重定向至伪造的Microsoft登录页面（仿冒Azure AD或Okta界面）。这些网站通过中间人攻击技术窃取用户凭证、多因素认证令牌及会话Cookie。攻击者曾向5,000家机构发送数十万封钓鱼邮件。   2、支付与数据窃取欺诈 冒充UPS物流的钓鱼邮件发送近3,500封，内嵌链接将受害者导向Lovable构建的钓鱼网站。这些页面要求输入个人信息、信用卡号及短信验证码，数据通过Telegram渠道外泄至攻击者。   3、加密货币窃取活动 近万名用户收到仿冒DeFi平台Aave的钓鱼邮件（经SendGrid发送）。受害者被诱导至Lovable生成的跳转链接和钓鱼页面，在连接加密钱包后遭遇资产窃取。   4、恶意软件分发行动 攻击邮件内含链接，将用户导向伪装成发票门户的Lovable应用页面。该页面分发托管于Dropbox的RAR压缩包，内含合法签名程序与恶意DLL文件，最终通过DLL侧加载技术释放远程访问木马zgRAT。 平台响应措施 Lovable于2025年7月推出新防护机制：实时检测系统可在用户输入指令时阻止恶意网站创建，同时每日自动扫描已发布项目并删除欺诈内容。该公司声明将在秋季推出账户级滥用检测功能，主动封禁违规账户。 第三方测试显示，目前仍可利用Lovable生成仿冒大型零售商的欺诈网站且未被拦截。针对现有反滥用措施有效性的质询，Lovable暂未回应。       消息来源： bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络犯罪分子已被发现采用AI驱动的伪装工具，以绕过传统安全措施，并隐藏其钓鱼网站和恶意软件站点，使其难以被检测。 SlashNext的最新研究显示，诸如Hoax Tech和JS Click Cloaker等平台正在提供“伪装即服务”（CaaS），使威胁行为者能够将恶意内容隐藏在看似无害的网站背后。 这些工具利用先进的指纹识别、机器学习和行为定向技术，选择性地仅向真实用户展示诈骗页面，同时向自动化扫描程序提供安全内容。 “我认为这是技术和工具被恶意使用的明显例子，”Apollo Information Systems的首席信息安全官（CISO）安迪·贝内特（Andy Bennett）表示。“就像威胁行为者使用加密一样，他们采用这种原本旨在帮助机会主义营销人员的技术，并将其用于针对特定受害者或逃避检测，这并不令人惊讶。” 这种被称为“伪装”的技术并非新事物，但其对AI的应用代表了一次重大演进。Hoax Tech利用基于指纹的分析和自学习AI引擎，实时分析数百个访问者数据点。可疑流量会被重定向到无害页面，而真实用户则会看到预设的诈骗内容。 复杂的伪装服务商业化 JS Click Cloaker提供类似功能，通过评估每次点击的900多项特征来判断访问的合法性。尽管自称是基于JavaScript的工具，但据报道它避免依赖JavaScript，以应对Google等搜索引擎的检测。 两项服务都宣传提供诸如A/B测试、地理过滤和实时重定向等功能。 “这项研究揭示了网络威胁格局的关键性演进，”Qualys的安全研究经理马尤雷什·丹尼（Mayuresh Dani）先生表示。“像Hoax Tech和JS Click Cloaker这样的平台暴露了威胁行为者能力的显著升级。” 为了应对这些系统，丹尼建议： 实施行为和运行时分析工具 使用多视角和差异扫描 投资于自适应的、AI驱动的防御技术 在网络中全面采用零信任框架 制定针对基于AI威胁的事件响应计划 贝内特警告说，其风险远不止于逃避检测。“利用AI来区分一个检查电子邮件链接是否恶意的工具，和一个因为未检测到恶意活动而通过邮件过滤器、点击了链接的真实用户，这无疑是更高级别的操作，”贝内特说。他补充道，攻击者可能会越来越多地实时为每位访问者个性化定制内容，这进一步增加了检测难度。 安全专家敦促采取更广泛的防御措施 Bugcrowd的CISO特雷·福特（Trey Ford）指出了一些历史相似之处。“这是一个由来已久的问题。二十年前，攻击者使用FastFlux DNS来分析目标的风险并进行漏洞测绘——如今AI驱动的伪装服务就是该能力的现代化版本，”福特解释说。“检测与响应的军备竞赛不能只依赖单一的工具或层面。端点补丁管理、系统加固和浏览器保护仍然是关键的控制和监测点。” 随着伪装技术的演进，安全团队面临着日益增长的压力去适应。没有多层、行为感知的防御措施，恶意网站可能会继续逃避检测，毫无阻碍地触达用户。       消息来源： infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员发现，仿冒杀毒软件厂商Bitdefender的钓鱼网站正被用于分发VenomRAT远程控制木马及两款恶意工具，形成三重攻击链。该仿冒网站界面高度还原官方下载页面，但用户点击“DOWNLOAD FOR WINDOWS”按钮后，实际下载的是托管在Bitbucket与Amazon S3平台的恶意安装包。 安装包内含名为StoreInstaller.exe的可执行文件，经分析发现其捆绑了VenomRAT、StormKitty和SilentTrinity三个恶意家族的代码模块。DomainTools研究团队指出，攻击者通过模块化组合实现多重渗透： VenomRAT：基于开源项目Quasar RAT改造，具备键盘记录、凭证窃取与远程命令执行能力，建立持久控制通道 StormKitty：专门窃取加密货币钱包数据及系统登录凭证 SilentTrinity：采用隐蔽通信协议实施数据外泄，维持长期潜伏 技术溯源显示，相关恶意样本均配置相同C2服务器（67.217.228[.]160:4449与157.20.182[.]72:4449），且部分样本共享远程桌面协议（RDP）配置参数，证实攻击活动由同一组织操控。攻击者还注册多个仿冒银行与IT服务登录页的钓鱼域名，包括仿造亚美尼亚IDBank的idram-secure[.]live、伪装加拿大皇家银行的royalbanksecure[.]online，以及假冒微软门户的dataops-tracxn[.]com，域名注册时间与基础设施存在关联性。 此次攻击凸显开源恶意工具的低门槛化趋势，攻击者通过组合现有框架快速构建攻击套件。研究人员强调，虽然开源特征有助于防御方识别攻击模式，但也显著提升了攻击效率与规模。建议用户从官方渠道验证下载文件，避免在可疑页面提交敏感信息，并对邮件附件与链接保持警惕。       消息来源： infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

Hackernews 编译，转载请注明出处： 在过去的六个月里，利用Cloudflare R2托管网络钓鱼页面的攻击者增加了61倍。 Netskope安全研究员Jan Michael说:“大多数网络钓鱼活动的目标是微软的登录凭证，尽管也有一些页面针对Adobe、Dropbox和其他云应用程序。” Cloudflare R2类似于Amazon Web Service S3、Google Cloud Storage和Azure Blob Storage，是一种面向云的数据存储服务。 与此同时，恶意软件下载的云应用总数已增至167个，其中微软OneDrive、Squarespace、GitHub、SharePoint和Weebly占据了前五名。 Netskope发现网络钓鱼活动不仅滥用Cloudflare R2来分发静态网络钓鱼页面，而且还利用该公司的Turnstile产品(CAPTCHA替代品)，将此类页面放置在反机器人屏障后面以逃避检测。由于CAPTCHA测试失效，这样做可以防止像urlscan这样的在线扫描程序到达实际的网络钓鱼站点。作为规避检测的附加层，恶意站点被设计为仅在满足某些条件时加载内容。 “恶意网站要求引用网站在URL中的散列符号后面包含时间戳，以显示实际的网络钓鱼页面，”Michael说。“另一方面，引用网站需要将网络钓鱼网站作为参数传递给它。” 如果没有传递URL参数到引用站点，访问者将被重定向到www.google[.]com。 一个月前，这家网络安全公司披露了一场网络钓鱼活动的细节。黑客在AWS Amplify上托管虚假登录页面，窃取用户的银行和微软365凭证，还通过Telegram的Bot API窃取银行卡支付细节。     消息来源：thehackernews，译者：Linn；   本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc ” 并附上原文

Bleeping Computer 网站披露，疑似具有俄罗斯背景的黑客组织 APT29（又名 Nobelium，Cloaked Ursa）正在使用二手宝马汽车广告等非常规性”诱饵“，引诱西方驻乌克兰外交官点击带有恶意软件的链接。 过去两年，APT29 组织针对北约、欧盟和乌克兰等地的高价值目标，使用带有外交政策主题的网络钓鱼电子邮件或虚假网站，通过秘密后门感染目标受害者。Palo Alto Network Unit 42 团队在发布的一份报告中指出 APT29 组织“进化”了其网络钓鱼策略，目前已经开始使用对网络钓鱼电子邮件收件人更具吸引力的诱饵。 据悉，2023 年 4 月， 一名准备离开乌克兰的波兰外交官发布了合法汽车出售广告，网络威胁攻击者拦截和模仿了该广告，并在广告中嵌入了恶意软件，之后将其发送给在基辅工作的其他数十名外国外交官， APT29 发送的恶意传单（Unit 42 团队） 一旦收件人点击恶意文档中嵌入的“获取更高质量的照片”链接时，便会被重定向到一个 HTML 页面，该页面通过 HTML 传递恶意 ISO 文件有效载荷。  （HTML 走私是一种用于网络钓鱼活动的技术，使用 HTML5 和 JavaScript 将恶意有效载荷隐藏在 HTML 附件或网页的编码字符串中。） 当用户打开附件或点击链接时，浏览器会对这些字符串进行解码，这时候恶意代码会被混淆，并且只有在浏览器中呈现时才会被解码，网络攻击者使用该技术有助于规避安全软件。 据悉，ISO 文件主要包含九张 PNG 图像，但实际上是 LNK 文件，它们可触发下图所示的感染链。 Unit 42 团队观察到的感染链 当受害目标打开任何伪装成 PNG 图像的 LNK 文件时，就会启动一个合法的可执行文件，该文件使用 DLL侧载将 shellcode 注入内存中的当前进程。 ISO 档案中包含的伪造PNG文件（Unit 42 团队） Unit 42 团队指出此次网络攻击活动主要针对基辅 80 多个外国使团中至少有22个使团，其中主要包括美国、加拿大、土耳其、西班牙、荷兰、希腊、爱沙尼亚和丹麦的使团。目前，受害目标的感染率尚不清楚。 值得一提的是，大约 80% 收到恶意传单的电子邮件地址是公开在互联网上的，由此可以看出，APT29 黑客组织一定是通过破坏目标外交官账户和情报收集获得另外 20% 的电子邮件地址。 以乌克兰大使馆为目标（Unit 42 团队） APT29 组织最近发动的另一个网络钓鱼的例子是 2023 年初发送给土耳其外交部的一份 PDF，该 PDF 指导为 2 月袭击土耳其南部的地震提供人道主义援助。Unit 42 团队表示由于攻击利用了绝佳的时机，该恶意 PDF 文件很可能在外交部员工之间共享，并被转发给土耳其其他组织。 最后，Unit 42 团队指出随着俄罗斯和乌克兰双方冲突的持续以及北约内部不断变化的事态有可能改变地缘政治格局，预计俄罗斯网络间谍组织将继续甚至加强针对外交使团的攻击。     转自Freebuf，原文链接:https://www.freebuf.com/news/371931.html 封面来源于网络，如有侵权请联系删除

近日，卡巴斯基研究人员测试了5265个URL（2322个钓鱼网址和2943个安全网址）。 研究人员向ChatGPT（GPT-3.5）提出了一个简单的问题：“此链接是否指向网络钓鱼网站？仅根据URL的形式，AI聊天机器人的检出率为87.2%，误报率为23.2%。” “虽然检出率非常高，但超过两成的假阳性率是不可接受的，这意味着五分之一的网站都会被封锁。”卡巴斯基首席数据科学家Vladislav Tushkanov说。 Tushkanov尝试了更为简单的问题：“这个链接安全吗？”结果要差得多：检出率为93.8%，假阳性率高达64.3%。事实证明，更笼统的提示更有可能导致ChatGPT判定链接是危险的。 更多的数据点能大幅提升检测能力 NTT Security Japan的研究人员进行了同样的测试，但给ChatGPT更多提示：网站的URL，HTML和通过光学字符识别（OCR）从网站中提取的文本。 测试方法概述（来源：NTT Security） 他们用1000个网络钓鱼站点和相同数量的非网络钓鱼站点测试了ChatGPT。研究者使用OpenPhish、PhishTank和CrowdCanary来收集网络钓鱼站点，用Tranco列表用创建非网络钓鱼站点列表。他们要求ChatGPT识别所使用的社会工程技术和可疑元素，在评估页面上识别品牌名称，判断该网站是网络钓鱼网站还是合法网站（以及原因）以及域名是否合法。 “GPT-4的实验结果展示出了巨大的潜力，精度为98.3%。GPT-3.5和GPT-4之间的比较分析显示，后者减少假阴性的能力有所增强。”研究人员指出。 研究者指出，ChatGPT擅长正确识别策略，例如虚假恶意软件感染警告、虚假登录错误、网络钓鱼短信身份验证请求以及识别不合法的域名，但偶尔无法识别域名抢注和特定的社会工程技术，如果合法域名有多个子域名，则无法识别合法域名等。此外，当使用非英语网站进行测试时，ChatGPT的效果并不好。 “这些发现不仅表明大语言模型在有效识别网络钓鱼站点方面的潜力，而且对加强网络安全措施和保护用户免受在线欺诈活动的危险具有重大意义。”研究人员总结道。     转自 GoUpSec，原文链接：https://mp.weixin.qq.com/s/flTPAIt49vKaSKjh0I9auA 封面来源于网络，如有侵权请联系删除