پژوهشگران Cisco Talos اخیراً از یک بدافزار جدید برای سیستم‌عامل ویندوز به نام CLOSEDQUORUM رونمایی کردند که از مدل‌های زبانی بزرگ (LLM) برای اتخاذ تصمیمات تاکتیکی در جریان حمله استفاده می‌کند. این بدافزار برخلاف نمونه‌های رایج، برای تعیین گام بعدی خود به جای یک اپراتور انسانی یا سرور فرمان و کنترل (C2) سنتی، به یک پنل از مدل‌های هوش مصنوعی متکی است.
تحلیل عملکرد CLOSEDQUORUM
این بدافزار که با زبان Go توسعه یافته است، فرآیند تصمیم‌گیری خود را به چهار مدل تجاری DeepSeek، Qwen، Mistral و Gemini می‌سپارد. بدافزار از این مدل‌ها می‌خواهد تا از میان یک منوی ثابت (مانند سرقت داده‌ها، تزریق کد یا ایجاد دسترسی دائمی یا Persistence)، بهترین گزینه را انتخاب کنند. در نهایت، گزینه‌ای که بیشترین رای را کسب کند اجرا می‌شود و در صورت تساوی، اولویت بر اساس ترتیب ذکر شده (شروع از DeepSeek) است.
معرفی چارچوب CAIRN برای تحلیل تهدیدات AI-Driven
برای مقابله با این نسل جدید از تهدیدات، تیم Talos چارچوبی متن‌باز به نام CAIRN را معرفی کرده است. این ابزار بدون نیاز به اجرای بدافزار یا دانلود فایل‌های مشکوک، تنها بر اساس متادیتای فایل‌ها عمل می‌کند تا «آثار شناختی» (Cognitive Artifacts) را شناسایی کند. این آثار شامل موارد زیر است:
- پرومپت‌های جاسازی شده (Embedded Prompts)
- اندپوینت‌های API ارائه‌دهندگان هوش مصنوعی
- منطق ارکستراسیون (Orchestration Logic)
- متون متخاصم برای فریب دادن Sandboxهای مبتنی بر AI
سطوح طبقه‌بندی در CAIRN
این ابزار یافته‌های خود را در سه سطح دسته‌بندی می‌کند:
- سطح اول: تایید وجود رشته‌های متنی (Strings) مرتبط با هوش مصنوعی در نمونه.
- سطح دوم: تحلیل بافت رفتاری برای تشخیص اینکه آیا ادغام AI عملیاتی است یا صرفاً تصادفی.
- سطح سوم: شناسایی و تخصیص نمونه به خانواده‌های شناخته شده بدافزاری.
چالش‌های پیشرو برای تیم‌های SOC
حذف نیاز به ارتباط مداوم با سرور C2، شناسایی و مسدود کردن این نوع حملات را برای مدافعان دشوارتر می‌کند. همچنین شواهدی دیده شده که تکنیک‌های Evasion (دور زدن) خاص هوش مصنوعی در حال انتشار بین گروه‌های مهاجم است. با این حال، تحلیلگران معتقدند اکنون فرصت مناسبی برای توسعه استراتژی‌های شناسایی و کنترل پیش از گسترش عملیات‌های کاملاً خودمختار فراهم است.
