Tytuł raportu przekazany do oceny twierdzi, że rodzina złośliwego oprogramowania dla systemu Windows o nazwie CLOSEDQUORUM wykorzystuje modele sztucznej inteligencji do wyboru działań po skompromitowaniu systemu. Do materiału nie dołączono żadnej potwierdzającej analizy technicznej, wskaźników kompromitacji, informacji o ofiarach ani atrybucji dostawcy, dlatego twierdzenia nie można niezależnie zweryfikować na podstawie dostępnego źródła.
Jeśli jest ono prawdziwe, opisywana funkcja stanowiłaby ewolucję w projektowaniu złośliwego oprogramowania, a nie całkowicie nową kategorię zagrożeń. Większość malware już wykorzystuje logikę warunkową do określania, czy kraść dane, przemieszczać się bocznie w sieci, ustanawiać mechanizmy trwałości czy unikać narzędzi bezpieczeństwa. Istotne oskarżenie polega na tym, że CLOSEDQUORUM może wykorzystywać modele AI do oceny warunków i wyboru spośród takich działań przy mniejszym bezpośrednim kierowaniu ze strony operatora.
Na co powinni zwracać uwagę obrońcy
Organizacje powinny powstrzymać się od wyciągania wniosków dotyczących funkcjonalności tego malware, dopóki nie będzie dostępny szczegółowy raport techniczny. W międzyczasie zespoły bezpieczeństwa mogą skupić się na szeroko stosowanych środkach wykrywania i reagowania po kompromitacji:
- Analizuj nietypowe uruchamianie procesów, zwłaszcza aktywność obejmującą silniki skryptowe, narzędzia zdalnej administracji i niepodpisane pliki binarne.
- Monitoruj nowe mechanizmy trwałości, w tym zaplanowane zadania, usługi, wpisy uruchamiania oraz zmiany ustawień uwierzytelniania.
- Badaj nietypowy dostęp do poświadczeń, rekonesans, tworzenie archiwów oraz połączenia wychodzące z nieznaną infrastrukturą.
- Upewnij się, że narzędzia do wykrywania zagrożeń na punktach końcowych, rejestrowanie zdarzeń Windows oraz mechanizmy monitorowania tożsamości są włączone, a dane są przechowywane wystarczająco długo na potrzeby dochodzeń incydentowych.
- Utrzymuj przetestowane procedury reagowania na incydenty, obejmujące izolację hostów, rotację poświadczeń, zabezpieczanie dowodów i polowanie na zagrożenia.
Potrzeba dowodów technicznych
Twierdzenia dotyczące złośliwego oprogramowania wspieranego przez AI wymagają dokładnej analizy. Analitycy musieliby ustalić, czy osadzony model rzeczywiście podejmuje decyzje, czy malware wywołuje zewnętrzną usługę AI, czy też konwencjonalną automatyzację opartą na regułach opisano jako AI. Przydatne do walidacji byłyby próbki, szczegóły infrastruktury dowodzenia i kontroli, ślady wykonania, artefakty modeli oraz wskazówki dotyczące wykrywania.
Do czasu opublikowania tych szczegółów CLOSEDQUORUM należy traktować jako niezweryfikowaną zgłoszoną nazwę zagrożenia. Obrońcy powinni nadal priorytetowo traktować wykrywanie oparte na zachowaniu i szybkie ograniczanie skutków incydentów, które pozostają skuteczne zarówno wobec konwencjonalnego malware, jak i narzędzi mogących wykorzystywać zautomatyzowane podejmowanie decyzji.