黑客利用 Gamma AI 创建复杂的 Microsoft 主题网络钓鱼重定向器

网络犯罪新手法：滥用Gamma AI构建钓鱼跳转器 攻击链暗藏CAPTCHA验证迷惑用户

网络安全研究人员披露，黑客组织正利用AI内容生成平台Gamma（gamma.app）创建高度复杂且难以侦测的钓鱼重定向系统。该平台原用于快速生成演示文稿、网站及文档，现被恶意分子用于在gamma.app官方域名下直接托管钓鱼跳转页面——这种"寄生式攻击"引发业界对AI工具武器化的深度担忧。

攻击流程解析

1. 钓鱼链接伪装：攻击者将恶意链接托管于Gamma官方域名下（例如hxxps://gamma[.]app/docs/...）；

2. 多层跳转机制：用户点击后，流量会经过多个中间页面实施跳转；

3. 验证机制伪装：攻击链中植入Cloudflare Turnstile等类CAPTCHA验证环节，高度模仿合法业务流程以降低用户戒心。

为何选择Gamma AI平台
网络安全专家Ankit Anubhav指出，攻击者通过以下方式滥用Gamma功能：

1. 可信度包装：在攻击链中植入类CAPTCHA验证机制（如Cloudflare Turnstile），不仅增强流程"合法性"，还能规避自动化安全扫描系统的异常行为检测；

2. 动态分流：用户完成验证后，流量或被引导至维基百科等可信站点（沙盒模式），或被重定向至托管于其他系统的全功能钓鱼页面；

3. 信任劫持：依托Gamma官方域名（gamma.app）托管初始跳转器，利用平台信誉降低安全厂商拦截概率——据统计，约78%的企业级防火墙默认放行该域名流量。

Gamma AI遭恶意滥用的根源

• 零代码建站：提供可视化建站工具，无需编程技能即可生成高仿真网页，攻击者可快速克隆银行、云服务等关键系统的登录界面；

• URL内容抓取：内置"通过URL导入内容"功能，支持一键抓取目标网站源码与资源文件，极大简化钓鱼页面制作流程；

• 域名白名单优势：gamma.app作为知名AI平台域名，被多数邮件网关与Web过滤器列入可信列表，恶意链接存活周期延长3-5倍；

• 加密通信掩护：平台默认启用TLS 1.3加密，钓鱼流量与正常业务数据难以区分，有效规避深度包检测（DPI）技术。

安全挑战升级
该事件揭示AI技术双刃剑效应——攻击者正将ChatGPT（生成钓鱼话术）、Gamma（构建攻击基础设施）、Deepfake（伪造身份验证）等工具整合，形成自动化武器链。安全团队需重新评估"可信域名"清单，并部署具备行为分析能力的AI对抗系统，以应对快速迭代的社交工程攻击。

攻击手法趋同化
此次攻击与近期利用Cloudflare R2存储桶、YouTube归因链接分发恶意内容的钓鱼活动呈现共性特征——滥用可信云服务构建攻击基础设施。攻击链中验证码系统的集成进一步阻碍检测：

• 人机流量分流：仅真人用户可抵达最终钓鱼页面，自动化安全扫描工具因无法完成验证而无法捕获完整攻击链；

• 隐蔽性增强：恶意页面被访问前需通过多步骤交互，传统基于URL静态分析的防护方案几近失效。

防御措施建议
网络安全专家提出三维度应对策略：

1. 强化域名监控

• 云服务商需对gamma.app等高危域名实施异常子路径创建监测（如/docs/下突发大量随机ID页面）；

• 部署图神经网络（GNN）追踪域名间关联，识别恶意跳转拓扑。

2. AI驱动的威胁狩猎

• 采用对抗生成网络（GAN）模拟攻击者行为，预判可信平台的新型滥用模式；

• 在邮件网关中集成实时流量行为分析，检测"合法域名+异常交互参数"组合。

3. 安全意识再升级

• 针对营销、SEO等高风险岗位开展定向培训，重点识别"可信服务+验证流程"组合型钓鱼；推行零信任架构，即使访问可信域名也需动态验证会话合法性。

技术双刃剑启示录
Gamma AI滥用事件揭示：当低代码平台遭遇武器化AI，传统基于IoC（入侵指标）的防御体系已显疲态。安全边界正从网络层向身份层迁移，唯有构建"AI对抗AI、自动化对抗自动化"的主动防御体系，方能应对黑产团伙的工业化攻击流水线。

原文来自: cybersecuritynews.com