تیم Cisco Talos ابزار متن‌بازی به نام CAIRN را معرفی کرده است. این کیت تحقیقاتی به مدافعان امنیت کمک می‌کند تا بدافزارهایی را که در عملیات‌های تهاجمی خود از هوش مصنوعی (AI) استفاده می‌کنند، شناسایی، طبقه‌بندی و ردیابی کنند.
رویکرد شناسایی آثار شناختی (Cognitive Artifacts)
شبکه تحقیقاتی CAIRN با استفاده از رویکرد «اول-متادیتا» (Metadata-first)، به تحلیل‌گران اجازه می‌دهد تا آثار مرتبط با AI در بدافزارها را بدون نیاز به دانلود یا اجرای فایل‌های باینری مشکوک شناسایی کنند. این ابزار بر روی آنچه Talos «آثار شناختی» می‌نامد تمرکز دارد؛ ردپاهایی که توسعه‌دهندگان هنگام ادغام مدل‌های زبانی بزرگ (LLMs) و سرویس‌های AI در ابزارهای مخرب به جای می‌گذارند.
این آثار شامل موارد زیر است:
- الگوهای Promptهای جاسازی شده
- نقاط اتصال (Endpoints) ارائه‌دهندگان LLM
- پیشوندهای API Key
- عبارات مربوط به Jailbreak
- منطق ارکستراسیون (Orchestration Logic) و ارجاعات به Runtime مدل‌های محلی
- متونی که برای دور زدن تحلیل‌های بدافزار مبتنی بر AI طراحی شده‌اند
مکانیزم تحلیل و همبستگی
ابزار CAIRN صرفاً به ارجاعات AI به عنوان دلیل وجود بدافزار تکی نمی‌کند، بلکه این آثار را با بافت رفتاری (Behavioral Context) و شاخص‌های خانواده‌های شناخته شده بدافزار همبسته می‌کند. این ابزار مکمل مهندسی معکوس (Reverse Engineering) سنتی است که برای تایید یافته‌ها و انتساب (Attribution) نمونه‌ها ضروری باقی می‌ماند.
CAIRN متادیتای استخراج شده از منابعی مانند VirusTotal (از جمله رشته‌های متنی، URLها، دامنه‌ها، برچسب‌های آنتی‌ویروس و رفتارهای Sandbox) را پردازش می‌کند و نیازی به اجرای باینری در محیط محلی ندارد.
قابلیت‌های پیشرفته و تحلیل خوشه‌ای
این چارچوب از یک پایگاه داده SQLite برای ذخیره داده‌ها استفاده کرده و هنگام وارد کردن داده‌ها، قوانین YARA را به‌طور خودکار اعمال می‌کند. لایه Explorer این ابزار، گراف‌های رابطه‌ای ایجاد می‌کند که تحلیل‌گران را قادر می‌سازد از یک نمونه مشکوک به زیرساخت‌های مرتبط، گونه‌های مشابه و پیوندهای احتمالی کمپین‌های تهاجمی دسترسی پیدا کنند.
همچنین از تکنیک‌های Embedding، UMAP و خوشه‌بندی HDBSCAN برای شناسایی نمونه‌هایی با متادیتای مشابه معنایی استفاده می‌کند، حتی اگر رشته‌های متنی واضحی به طور مشترک نداشته باشند.
مورد مطالعه: بدافزار CLOSEDQUORUM
همزمان با معرفی CAIRN، تحلیل‌های Talos روی بدافزار CLOSEDQUORUM منتشر شد. این Implant ویندوزی، تصمیمات تاکتیکی مربوط به فرماندهی و کنترل (C2) را به پنلی از LLMهای تجاری می‌سپارد. این بدافزار می‌تواند برای انتخاب اقداماتی نظیر سرقت اعتبارنامه‌ها (Credential Theft)، ایجاد تداوم (Persistence) و تزریق کد (Code Injection)، از مدل‌هایی مانند DeepSeek، Qwen، Mistral و Google Gemini استفاده کند.
به گفته Talos، CLOSEDQUORUM پس از استقرار، نیازی به دستورات مداوم از سوی اپراتور انسانی یا سرورهای C2 سنتی ندارد، هرچند هنوز استقرار گسترده این نمونه در محیط‌های واقعی تایید نشده است.
