看影片也會中毒！竊密駭客透過 AI 自動產生惡意 YouTube 影片

隨著 AI 技術推陳出新，人們已見識到 ChatGPT 自動產生論文與撰寫程式的絕世神功。其實 AI 自動產影片的能力也讓許多網紅倍感威脅。即使影片新手也能透過 Synthesia、PictoryAI、Deforum Stable Diffusion 及 D-ID 等 AI 工具，輕鬆快速製作高水準 YouTube 影片。

這些強大的 AI 工具似乎被駭客盯上，因讓駭客如虎添翼產生大量含惡意軟體連結的好康工具破解教學影片，一旦使用者點擊影片說明欄偽裝成好康破解資源的惡意連結，使用者電腦就有可能被植入 Vidar、Redline 等竊密木馬程式，造成個資外洩。

YouTube 含惡意連結影片激增 2~3 倍

數位威脅 AI 監控平台商 CloudSEK 在官網部落格發文，YouTube 出現大量直接在說明欄貼惡意連結的影片，一旦點擊連結就觸發常見竊密程式下載安裝。2022 年 11 月以來，這類惡意影片數量激增 200%~300%。

這些影片幾乎清一色都是專門介紹如何免費破解 Office、Photoshop、Illustrator、Premiere Pro 及 Audesk 3D Max 等合法付費程式或《霍格華茲的傳承》等熱門遊戲的教學影片。

對駭客來說，持續吸引受害者看惡意影片莫過於大量或定期發影片。過去想做到這點，對沒太多影片製作經驗的駭客來說絕對有一定難度與負擔。

AI 影片自動產生軟體淪為駭客攻擊利器

但隨著 Synthesia、PictoryAI 及 D-ID 等 AI 影片自動產生軟體大行其道，即使不會寫腳本、也不會剪輯影片的初學者也能製作高水準影片。駭客還可透過 D-ID 產生吸引特定族群的虛擬人物，再配上名人聲音引誘更多使用者看影片，甚至點擊惡意連結。一時間這些 AI 影片產生工具變相成了助紂為虐的利器。

駭客與其自己申請 YouTube 帳號，還不如用現成帳號方便快速。所以資訊竊取器開發者還會透過社交工程、網路釣魚等各種攻擊手法，或僱用「流量竊賊」（traffer）取得特定對象資料或日誌檔，接管現有 YouTuber 帳號。「流量竊賊」指網路透過地下市集、論壇及 Telegram 頻道發現並分享潛在受害者資訊的網路犯罪者。

一旦接管帳號，駭客會一口氣上傳好幾支惡意影片，以吸引原 YouTuber 粉絲的注意。如果是熱門 YouTuber 帳號，即使最終通報濫發惡意影片遭 YouTube 刪除影片甚至停權，駭客也早獲得可觀的影片點擊量，甚至惡意連結點擊量。至於冷門或許久未使用的帳號，即使粉絲量不高，駭客也可大量用這類帳號再搭配 AI 影片產生工具，亂槍打鳥成功。