Les chercheurs en sécurité ont demandé à l’IA de créer un faux e-mail à partir d’une société d’hébergement et d’injecter des logiciels malveillants dans un fichier Excel dans le cadre d’un test. Depuis sa mise en ligne fin novembre, les usagers ont découvert des méthodes efficaces pour tester le Chatbot avancé ChatGPT d’OpenAI. Pourtant, un fournisseur de sécurité a alerté que des pirates pourraient s’en servir pour lancer des attaques informatiques spécifiques et très agressives.
ChatGPT a été développé pour fournir une interface de dialogue en langage naturel vers OpenAI’s GPT-3, un modèle avancé de langage, ainsi qu’un accès à Codex, un modèle d’IA formé pour comprendre et générer du code dans une variété de langages de programmation. Une fois une instruction donnée, le chatbot fournira des lignes de code et des explications sur leur fonctionnement et leur mise en œuvre. Les utilisateurs ont déjà partagé des exemples d’utilisation de ChatGPT pour créer des robots IA qui surveillent le marché boursier et font des prédictions, pour s’amuser avec des générations et des outils de travail simples.
Cependant, n’importe quelle société de sécurité pointerait que cette capacité pourrait aussi être utilisée par des pirates pour facilement concevoir, écrire et exécuter du code malveillant, ce qui pourrait augmenter la productivité du lieu de travail, mais au détriment de la sécurité.
Moins de 10 minutes pour envoyer un faux e-mail avec un code malveillant
Une équipe de cyber-sécurité a trouvé un moyen d’exploiter la plate-forme pour créer des e-mails malveillants, du code et une chaîne d’infection. Pour ce faire, ils ont utilisé ChatGPT pour générer un e-mail de phishing similaire à ceux utilisés par les sociétés d’hébergement. Ce mail a ensuite été affiné pour faciliter la chaîne d’infection. Enfin, les chercheurs ont utilisé ChatGPT pour générer un morceau de code VBA qui pourrait être intégré à un document Microsoft Excel, infectant ainsi un ordinateur si ouvert. Ce code téléchargerait également des shells inversés qui sont utilisés pour se connecter à un ordinateur distant et rediriger les connexions d’entrée et de sortie du shell du système cible, permettant à l’attaquant d’y accéder à distance.
L’utilisateur a pu réaliser cette tâche en trois étapes faciles grâce à ChatGPT. Cela a commencé par une demande de se faire passer pour une entreprise d’hébergement. Puis, il a été demandé à ChatGPT d’itérer une nouvelle fois et de produire un e-mail de phishing avec une pièce jointe Excel contenant du code malveillant. Enfin, ChatGPT a été invité à produire un morceau de code VBA malveillant.
L’IA pourrait révolutionner le monde du hacking
ChatGPT a le potentiel de révolutionner le secteur des cyber-menaces. Grâce à ce logiciel, n’importe qui, même sans connaissances en codage, peut générer du code malveillant à l’aide de Codex et le lancer sur des machines cibles. Les hackers en herbe ont dorénavant le travail facilité.
Par exemple, en exécutant un script shell inversé sur une machine Windows et en se connectant à une adresse IP spécifique, en vérifiant si l’URL est vulnérable à l’injection SQL en se connectant en tant qu’administrateur, et en écrivant un script python qui exécute une analyse complète des ports sur la machine cible, un attaquant peut facilement s’infiltrer.
La facilité avec laquelle les pirates peuvent générer des e-mails et du code malveillants grâce à l’utilisation conjointe de ChatGPT et de Codex demeure inquiétante. Ces technologies d’intelligence artificielle représentent un autre pas en avant dans l’évolution des capacités cybernétiques, augmentant leur sophistication et leur efficacité. Par conséquent, il est crucial que les professionnels de la cybersécurité se tiennent au courant de l’évolution de l’utilisation de ChatGPT et de Codex, afin de mieux comprendre comment ces nouvelles technologies peuvent affecter le paysage des menaces.
Open AI le grand frère des hackers
Récemment sur le net, Jamie Moles, directeur technique senior chez la société de cyber-sécurité ExtraHop, a mené sa propre étude en utilisant le ChatGPT. Il a réussi à faire comprendre à l’algorithme comment utiliser le logiciel de test d’intrusion Metasploit pour exploiter une faille nommée EternalBlue, une porte dérobée développée par la NSA et divulguée par le groupe Shadow Brokers en avril 2017.
Moles a déclaré que ChatGPT va bien au-delà d’être la dernière tendance à la mode. Il souligne également que, bien que cet outil soit très intelligent, cela présente des implications positives et négatives. Il a souligné une utilisation possible négative de ChatGPT, à savoir l’enseignement aux non-initiés comment utiliser des outils susceptibles d’être exploités à des fins malveillantes. Moles a également souligné que la communauté des pirates informatiques comprend ce que l’on appelle les « script kiddies », des pirates non expérimentés qui peuvent utiliser des outils et des scripts d’autres pirates plus talentueux pour attaquer des systèmes. Selon Moles, ChatGPT pourrait bien devenir ce hacker plus talentueux.
ChatGPT a affirmé que des contrôles avaient été mis en place pour l’empêcher de produire du code malveillant. Cependant, plusieurs trouvailles ont montré que ces contrôles pouvaient être contournés, limitant l’utilisation du modèle à des fins de recherche. Une mise à jour récente déployée par OpenAI a tenté de combler ces lacunes, mais la société a reconnu qu’il reste encore des faux négatifs et positifs.
Par conséquent, OpenAI invitent leurs utilisateurs à partager leurs commentaires pour leur permettre d’améliorer le système. De plus, l’exactitude des réponses fournies par ChatGPT n’est pas garantie, ce qui a conduit StackOverflow à interdire l’utilisation de ses réponses.
Open AI est encore en développement
Sam Altman, PDG d’OpenAI, a averti que ChatGPT n’était pas encore prêt pour une utilisation grand public et qu’il ne fallait pas le considérer comme une solution fiable pour les environnements productifs. Il a mis en garde contre l’illusion de puissance que pourrait créer l’utilisation de ChatGPT, soulignant que « la robustesse et la véracité [de l’IA] doivent être améliorées ». Le Dr Eddy Zhu, expert en IA centrée sur les personnes, a également souligné que bien que ChatGPT soit une « étape importante pour l’intelligence artificielle », il est loin d’être parfait et peut induire en erreur les utilisateurs.
Revers de la médaille, en se reposant sur un outil facile et basique, les compétences en vrai hacking pourraient aussi se perdre ou se diluer.
En conclusion, ChatGPT est un modèle très avancé d‘intelligence artificielle qui offre aux utilisateurs la possibilité de produire des e–mails et du code malveillants en seulement quelques minutes. La communauté des pirates informatiques pourrait s‘en servir pour faciliter leurs attaques. Malgré les contrôles mis en place par OpenAI, il est possible de contourner ces contrôles pour utiliser ChatGPT à des fins malveillantes. OpenAI a averti que son système n‘est pas encore prêt pour une utilisation grand public et continue de travailler à améliorer sa robustesse et sa véracité. Il est important que les professionnels de la cybersécurité restent vigilants quant à l‘évolution de l‘utilisation de ChatGPT.
Lexique :
Qu’est-ce qu’un chatbot ?
Un chatbot (ou robot conversationnel) est un programme informatique conçu pour simuler une conversation avec un humain. Ils sont souvent utilisés pour fournir une assistance en ligne automatisée, répondre à des questions fréquemment posées ou effectuer des tâches simples telles que la réservation de billets ou l’achat de produits en ligne. Les chatbots peuvent être intégrés à des sites Web, des applications de messagerie ou des plateformes de réseaux sociaux, et ils peuvent être activés via un chat en direct ou par l’envoi de messages.
Les chatbots utilisent souvent l’intelligence artificielle (IA) et le traitement du langage naturel pour comprendre les requêtes de l’utilisateur et y répondre de manière appropriée. Ils peuvent être programmés pour réagir de manière différente selon le contexte de la conversation ou les informations fournies par l’utilisateur.
Les chatbots sont de plus en plus couramment utilisés par les entreprises pour offrir un service client en ligne 24h/24 et 7j/7, réduire les coûts de support et améliorer l’efficacité des opérations. Ils peuvent également être utilisés dans d’autres contextes, tels que l’éducation ou la recherche médicale, pour fournir de l’information ou de l’assistance de manière automatisée.
Qu’est-ce que le phishing ?
Le phishing est une forme de fraude en ligne qui vise à voler les informations confidentielles des utilisateurs, telles que les mots de passe, les numéros de carte de crédit et les informations de compte bancaire, en les incitant à fournir ces informations sur des sites Web frauduleux. Les attaques de phishing sont souvent menées par des cybercriminels qui envoient des e-mails ou des messages de messagerie instantanée à des victimes potentielles, en se faisant passer pour une entreprise légitime ou une organisation de confiance. Ces e-mails ou messages peuvent contenir des liens vers des sites Web de phishing ou des pièces jointes infectées par des logiciels malveillants.
Les attaques de phishing peuvent être difficiles à détecter, car les cybercriminels sont de plus en plus habiles à imiter les communications légitimes et à créer des sites Web qui ressemblent à ceux de véritables entreprises. Pour se protéger contre les attaques de phishing, il est important d’être vigilant lorsqu’on reçoit des e-mails ou des messages de personnes ou d’entreprises qu’on ne connaît pas, de ne pas cliquer sur des liens douteux et de vérifier l’adresse URL avant de saisir des informations sensibles sur un site Web. Il est également recommandé d’utiliser un logiciel de sécurité pour protéger son ordinateur contre les logiciels malveillants.
Qu’est-ce que le code VBA ?
VBA (Visual Basic for Applications) est un langage de programmation utilisé dans les applications Microsoft Office, telles que Excel, Word et PowerPoint, pour automatiser les tâches et créer des macros. VBA permet aux utilisateurs de créer des scripts qui peuvent exécuter des actions dans ces applications, telles que la création de nouvelles feuilles de calcul, la modification de données ou la création de graphiques.
VBA est basé sur Visual Basic, un langage de programmation populaire qui a été développé dans les années 1980. Bien que VBA soit principalement utilisé dans les applications Office, il peut également être utilisé pour développer des applications Windows ou pour accéder à des bases de données.
Pour utiliser VBA, il est nécessaire de connaître les bases de la programmation, telles que les structures de contrôle de flux et les variables. Les utilisateurs peuvent enregistrer des macros VBA dans les applications Office pour les exécuter rapidement à l’aide d’un raccourci clavier ou d’un bouton de commande, ou ils peuvent écrire du code VBA à partir de zéro en utilisant l’éditeur de code intégré.
Qu’est-ce que la faille EternalBlue ?
La faille EternalBlue est une vulnérabilité informatique découverte en 2017 dans les systèmes d’exploitation Microsoft Windows. Elle a été utilisée pour diffuser le virus informatique WannaCry, qui a causé de graves dommages à de nombreux ordinateurs à travers le monde en 2017.
La faille EternalBlue a été exploitée en envoyant des paquets de données malveillants à un ordinateur vulnérable, ce qui permettait à un attaquant de prendre le contrôle de l’ordinateur et de diffuser un logiciel malveillant. La faille a été initialement découverte par l’Agence de sécurité nationale des États-Unis (NSA), qui l’a utilisée pour mener des opérations de renseignement avant qu’elle ne soit rendue publique.
Microsoft a rapidement publié un correctif pour la faille EternalBlue une fois qu’elle a été rendue publique, mais de nombreux ordinateurs ont été infectés avant que les utilisateurs ne puissent mettre à jour leur système d’exploitation. La faille EternalBlue a été l’une des plus graves et des plus largement diffusées de l’histoire de l’informatique, et elle a souligné l’importance de maintenir les systèmes d’exploitation et les logiciels à jour pour éviter les attaques informatiques.
