گزارش‌های جدید نشان می‌دهند که مدل‌های هوش مصنوعی (AI) که به صورت محلی (Local) میزبانی شده و محدودیت‌های اخلاقی یا سانسور آن‌ها حذف شده است، می‌توانند در تولید ابزارهای مخرب برای استخراج اطلاعات از فرآیند LSASS ویندوز کمک کنند. در آزمایش‌های محیطی، ابزارهای تولید شده توسط این مدل‌ها توانسته‌اند از محصولات شناسایی و پاسخ‌دهی در نقاط انتهایی (EDR) عبور کنند.
نقش LSASS در حملات سایبری
فرآیند Local Security Authority Subsystem Service یا همان LSASS یکی از حیاتی‌ترین بخش‌های ویندوز است. بسته به پیکربندی سیستم، این فرآیند حاوی اطلاعات حساس نظیر هش‌های رمز عبور (Password Hashes) و در برخی موارد، رمزهای عبور به صورت متن ساده (Plaintext) است. عوامل تهدید (Threat Actors) پس از دستیابی به دسترسی‌های مدیریتی، از این فرآیند برای استخراج اعتبارنامه‌ها و سپس جابجایی عرضی (Lateral Movement) در محیط‌های Active Directory استفاده می‌کنند.
مقایسه مدل‌های تجاری و محلی
در بررسی‌های انجام شده توسط Eddie Zhang از Project Black، مشخص شد که مدل‌های تجاری مانند Claude، حتی برای سازمان‌های تایید شده در برنامه‌های امنیتی، از تولید ابزارهای استخراج LSASS خودداری می‌کنند. با این حال، مدل‌های Open-weight مانند DeepSeek v4 Flash در ابتدا کد تولید کردند، اما خروجی آن‌ها توسط EDR شناسایی شد.
نقطه عطف این آزمایش زمانی رخ داد که از یک نسخه بدون سانسور (Uncensored) از مدل Qwen3.8-27B استفاده شد. این مدل که روی سیستم‌های محلی با پردازنده‌های گرافیکی NVIDIA RTX 4090 اجرا می‌شد، پس از دریافت درخواست برای «پنهان‌تر کردن» (Stealthy) کد، نسخه‌ای را تولید کرد که در آزمایشگاه، توسط دو محصول EDR شناسایی نشد.
تکنیک‌های دور زدن شناسایی
تحقیقات نشان می‌دهد که مدل AI با تغییر چندین شاخص رفتاری و استاتیک، توانسته است شناسایی را دور بزند. این تغییرات شامل موارد زیر است:
- تغییر رفتار در ایجاد فرآیندهای فرزند (Process-spawning) برای کاهش شک‌برانگیز بودن.
- کاهش سطح دسترسی‌های درخواستی (Access Permissions) نسبت به فرآیند هدف.
- استفاده از بازه‌های زمانی تصادفی (Randomized Sleep Intervals) در هنگام استخراج داده‌ها.
- تغییر مسیرهای خروجی و نام فایل‌ها.
- حذف یا مبهم‌سازی (Obfuscation) رشته‌های متنی (Strings) جاسازی شده در کد.
توصیه‌های امنیتی برای مدیران SOC و CISO
اگرچه EDR یک لایه دفاعی حیاتی است، اما نباید تنها مانع در برابر سرقت اعتبارنامه‌ها باشد. سازمان‌ها باید استراتژی‌های زیر را در اولویت قرار دهند:
- محدود کردن دسترسی‌های مدیریتی و حفاظت از هویت‌های دارای سطح دسترسی بالا (Privileged Identities).
- فعال‌سازی Windows Credential Guard در صورت امکان.
- پایش دقیق فعالیت‌های غیرعادی در Handleهای فرآیندها و ایجاد فایل‌های Dump غیرمنتظره.
- رصد تله‌متری‌های مربوط به دسترسی به اعتبارنامه‌ها و تلاش‌های جابجایی عرضی پس از ورودهای مدیریتی.
