Modelos de linguagem generativa estão criando endereços web inexistentes que cibercriminosos registram para hospedar páginas de phishing. A Palo Alto Networks chama isso de phantom squatting, e sua nova pesquisa mostra que a técnica já está em uso no mundo real.
O surgimento do phantom squatting
A inovação mais recente no arsenal de atacantes explora uma falha fundamental na forma como os grandes modelos de linguagem (LLMs) processam informações. Ao gerar conteúdo, esses sistemas frequentemente inventam nomes de domínio que parecem legítimos, mas que não existem. Em vez de corrigir essas alucinações, os cibercriminosos estão registrando esses domínios antes que qualquer outra entidade possa fazê-lo.
Esse fenômeno, denominado phantom squatting pela equipe de pesquisa da Palo Alto Networks Unit 42, representa uma nova fronteira na guerra contra o phishing. Ao contrário do domínio squatting tradicional, que se baseia em variações de marcas conhecidas, o phantom squatting cria domínios completamente novos que podem enganar usuários e ferramentas de segurança que confiam em padrões de URL.
Como a alucinação de IA é explorada
O mecanismo do ataque é simples, mas eficaz. Os atacantes utilizam LLMs para gerar listas de domínios plausíveis. Esses domínios são então verificados quanto à disponibilidade e registrados em massa. Uma vez que os domínios estão sob controle dos criminosos, eles são usados para hospedar páginas de phishing que imitam serviços legítimos ou para distribuir malware.
A eficácia dessa técnica reside na imprevisibilidade. Ferramentas de segurança tradicionais que dependem de listas de bloqueio de domínios conhecidos ou de análise de similaridade com marcas registradas podem não detectar esses domínios, pois eles não são variações óbvias de marcas existentes. Além disso, a natureza aleatória dos domínios gerados por IA torna difícil a criação de regras de filtragem estáticas.
Vetores de ataque e impacto
O impacto do phantom squatting pode ser significativo, especialmente em ambientes onde os usuários confiam em sugestões de IA para navegação. Se um modelo de linguagem recomenda um domínio que foi registrado por um atacante, o usuário pode ser redirecionado para uma página maliciosa sem saber.
Além do phishing, os domínios registrados podem ser usados para:
- Distribuição de malware: Hospedar arquivos maliciosos que são baixados por usuários que acreditam estar acessando um site legítimo.
- Exfiltração de dados: Servir como ponto de comando e controle (C2) para malware já instalado nas redes das vítimas.
- Engenharia social: Criar campanhas de phishing mais convincentes, pois os domínios parecem mais legítimos do que os gerados aleatoriamente.
Evidências e limites
A pesquisa da Palo Alto Networks Unit 42 indica que o phantom squatting já está ocorrendo na natureza. Embora os detalhes específicos das campanhas em andamento não tenham sido divulgados publicamente, a existência da técnica foi confirmada por pesquisadores de segurança. Isso sugere que os atacantes estão adotando rapidamente novas tecnologias para melhorar suas operações.
Os limites da técnica ainda estão sendo definidos. A eficácia depende da capacidade dos atacantes de registrar domínios rapidamente e da confiança que os usuários e sistemas têm nas sugestões de IA. À medida que as ferramentas de detecção evoluem, é provável que os atacantes adaptem suas táticas para contornar as defesas.
Medidas de mitigação recomendadas
Para CISOs e equipes de segurança, a defesa contra o phantom squatting requer uma abordagem multifacetada. As seguintes medidas são recomendadas:
Monitoramento de domínios
Implemente soluções de monitoramento de domínios que possam detectar o registro de domínios semelhantes aos seus ou que pareçam suspeitos. Isso inclui o uso de serviços de threat intelligence que rastreiam novos registros de domínios.
Educação do usuário
Capacite os usuários para identificar sinais de phishing, mesmo quando os domínios parecem legítimos. Enfatize a importância de verificar URLs manualmente e não confiar cegamente em sugestões de IA.
Proteção de IA
Se sua organização utiliza LLMs internamente, implemente controles de segurança para prevenir que esses modelos gerem domínios maliciosos. Isso pode incluir a filtragem de saídas de IA e a validação de URLs antes de serem usadas.
Atualização de ferramentas de segurança
Garanta que suas ferramentas de segurança estejam atualizadas com as últimas assinaturas de ameaças e regras de detecção. Isso inclui a integração de inteligência de ameaças que cobre novas técnicas como o phantom squatting.
Implicações para governança de IA
O phantom squatting destaca a necessidade de uma governança robusta de IA nas organizações. À medida que a IA se torna mais integrada aos processos de negócios, é crucial entender os riscos de segurança associados ao seu uso. Isso inclui a consideração de como os modelos de IA podem ser explorados por atacantes e como mitigar esses riscos.
Perguntas frequentes
O que é phantom squatting?
É uma técnica de ataque onde cibercriminosos registram domínios inventados por modelos de linguagem de IA para hospedar phishing e malware.
Como posso me proteger?
Monitore novos registros de domínios, eduque seus usuários sobre phishing e atualize suas ferramentas de segurança regularmente.
Isso afeta apenas grandes empresas?
Não. Qualquer organização que use IA ou tenha usuários que naveguem na internet pode ser afetada pelo phantom squatting.
O que os CISOs devem fazer imediatamente
Os CISOs devem revisar suas políticas de uso de IA e garantir que os modelos de IA internos não sejam usados para gerar domínios maliciosos. Além disso, devem implementar monitoramento de domínios e educar suas equipes sobre as novas ameaças. A colaboração com parceiros de segurança e a participação em comunidades de threat intelligence também são essenciais para manter-se atualizado sobre as últimas táticas de ataque.