Nettkriminelle endrer måten de leverer skadevare på, og skiftet skjer rett inne i nettleseren din. I stedet for å sende én enkelt ondsinnet fil som antivirusprogrammer kan flagge, deler angriperne nå kampanjene sine opp i flere trinn og setter sammen den endelige nyttelasten bit for bit mens offeret klikker seg gjennom det som ser ut som et helt vanlig nettsted. En ny rapport peker også på noe som bør få alle til å spisse ører: ChatGPT har kommet med på topp 10-listen over de mest misbrukte merkevarene i phishing-angrep, og slutter seg dermed til kjente navn som svindlere har utnyttet i årevis.

Flerstegsangrep flytter skadevaresammensetningen inn i nettleseren

Tradisjonell levering av skadevare går gjerne ut på å lure noen til å laste ned og kjøre én enkelt infisert fil. Sikkerhetsverktøyene er blitt ganske flinke til å fange opp det mønsteret, så angriperne tilpasser seg. I stedet for å sende et helt ondsinnet program, splitter de nå angrepet opp i flere små, tilsynelatende harmløse steg. Skript kjøres inne i nettleseren, henter inn tilleggskomponenter fra eksterne servere og setter sammen den faktiske skadevaren først etter at målet allerede har samhandlet med flere trinn av angrepet.

Denne teknikken med å sette sammen skadevaren direkte i nettleseren gjør det betydelig vanskeligere å oppdage. Fordi ingen enkeltfil i seg selv ser åpenbart ondsinnet ut, kan signaturbasert antivirusskanning overse trusselen fullstendig. Skadevaren bygger i praksis seg selv i sanntid ved å bruke nettleserens egne skriptemuligheter som verksted. Dette er en påminnelse om at nettleseren er blitt en av de mest omstridte programvarene på enhver enhet – ikke bare et vindu til nettet, men et aktivt kjøremiljø som angriperne lærer å utnytte.

Et slikt trinnbasert infrastrukturoppsett mater ofte direkte inn i større kriminelle operasjoner. Kompromitterte enheter som bygges opp via nettleserbaserte angrep, blir hyppig en del av et botnett, et nettverk av infiserte maskiner som angripere kontrollerer på avstand for å sette i gang nye angrep, sende spam eller høste innloggingsdetaljer i stor skala. Én enkelt vellykket nettleserkompromittering forblir sjelden isolert. Den har en tendens til å bli én node i et mye større nettverk.

ChatGPT slutter seg til topp 10 over phishing-merkevarer

Den kanskje mest oppsiktsvekkende detaljen i rapporten er at ChatGPT nå har brutt seg inn på topp 10-listen over merkevarer som brukes i phishing-agn. Dette er forståelig med tanke på hvor raskt verktøyet er blitt en del av daglig arbeids- og privatliv. Svindlere lever av gjenkjennbarhet og tillit, og en merkevare som hundretalls millioner mennesker nå bruker hver dag, er et opplagt mål for etterligning. Falske påloggingssider, uekte e-poster om fornyelse av abonnement og forfalskede nettleserutvidelser som hevder å tilby premiumfunksjoner fra ChatGPT er alle plausible inngangsporter når en merkevare når et slikt gjenkjennelsesnivå.

At et KI-verktøy havner sammen med mer etablerte phishing-mål, viser hvor raskt de kriminelle dreiebøkene tilpasser seg den teknologien som er populær akkurat nå. Det tyder også på at phishing-sett oppdateres raskere enn mange brukeres risikoforståelse, siden helt nye tjenester sjelden utløser den samme skepsisen som eldre og mer granskede plattformer gjør.

Hvorfor dette skiftet betyr noe for vanlige brukere

Nettleserbaserte flerstegsangrep er effektive nettopp fordi de utnytter tilliten man har til vanlig nettleseratferd. En bruker kan besøke et tilsynelatende legitimt nettsted, samhandle med en chatbot-widget eller klikke på en lenke delt av en kollega – ingen av delene føles risikabelt isolert sett. Hvert enkelt steg ser harmløst ut, og det er akkurat poenget.

Konsekvensene av en vellykket kompromittering er ikke abstrakte. Stjålne data fra brudd som involverer kompromitterte systemer, har gjentatte ganger endt opp med å sirkulere offentlig, slik man har sett i hendelser som Tata Electronics-bruddet som eksponerte sensitive leverandørfiler eller Origin Energy-lekkasjen av kunders kortdetaljer. Disse sakene viser at når angriperne først får fotfeste, enten via phishing, en kompromittert nettleserøkt eller eksponert infrastruktur som VPN-bruddet som førte til kompromittering av en kinesisk superdatamaskin, så kan skaden strekke seg langt utover én enkelt enhet.

Hva dette betyr for deg

Du trenger ikke å forlate nettleseren din eller slutte å bruke KI-verktøy for å være trygg, men noen få vaner teller mer nå enn de gjorde før. Behandle uventede spørsmål, nettleser-popup-vinduer og ukjente utvidelser med den samme skepsisen som du ville hatt overfor et uønsket e-postvedlegg. Hold nettleser og operativsystem oppdatert, siden mange av disse trinnbaserte angrepene utnytter kjente sårbarheter som allerede er rettet i oppdateringer. Vær på vakt overfor påloggingssider eller forespørsler om abonnement knyttet til ChatGPT eller lignende KI-tjenester som du mottar via en lenke i en e-post, i stedet for via et bokmerke du navigerte til selv.

Bruk av en anerkjent VPN med kryptert DNS gir et meningsfylt beskyttelseslag her. Den stopper ikke et ondsinnet skript fra å kjøre når du først har klikket deg inn på en kompromittert side, men den gjør det vanskeligere for angripere eller mellomparter å overvåke surfemønsteret ditt, avskjære DNS-forespørsler som kan avsløre hvilke ondsinnede domener du kobler til, eller korrelere aktiviteten din på tvers av flere trinn i et angrep.

Nøkkelpunkter

  • Skadevare som leveres i flere trinn inne i nettleseren, er designet for å unnvike tradisjonell antivirusdeteksjon, så sørg for å holde sikkerhetsprogramvare og nettlesere jevnlig oppdatert.
  • ChatGPTs opptreden på topp 10-listen over phishing-merkevarer betyr at du bør verifisere påloggings- eller betalingssider knyttet til KI-verktøy uavhengig, i stedet for å klikke på e-postlenker.
  • Kompromitterte nettlesere og enheter blir ofte en del av større botnett, så tilsynelatende isolerte hendelser kan få bredere konsekvenser enn man først tror.
  • Å kombinere gode surfevaner med en VPN og kryptert DNS reduserer risikoen for at trafikken din blir overvåket eller omdirigert under et flerstegsangrep.

Ettersom phishing og metoder for levering av skadevare stadig er i utvikling, er det å holde seg orientert om hvordan angripere faktisk opererer – i stedet for å reagere på overskrifter – det beste forsvaret. Små, jevne forholdsregler i måten du surfer og klikker på, går fremdeles langt i retning av å holde dataene dine utenfor den neste bruddrapporten.