گزارش‌های جدید امنیتی از اولین مورد مستند شده در سطح عمومی خبر می‌دهند که در آن یک Implant (جاسوس‌افزار) مخصوص سیستم‌عامل ویندوز، برای مدیریت ارتباطات فرمان و کنترل (C2) خود از مدل‌های زبانی بزرگ (LLM) استفاده کرده است.
تغییر در متدهای ارتباطی بدافزارها
استفاده از LLMها در زیرساخت‌های C2 نشان‌دهنده یک تحول در تاکتیک‌های عوامل تهدید است. در روش‌های سنتی، بدافزارها از پروتکل‌های استاندارد یا تونل‌های رمزگذاری شده برای دریافت دستورات استفاده می‌کردند، اما ادغام هوش مصنوعی مولد در این فرآیند می‌تواند منجر به موارد زیر شود:
- پنهان‌سازی ترافیک: تغییر ماهیت درخواست‌های ارسالی به گونه‌ای که شبیه به تعاملات انسانی با چت‌بات‌ها به نظر برسد و سیستم‌های تشخیص نفوذ (IDS) را دور بزند.
- تولید دستورات پویا: توانایی عامل تهدید برای ارسال دستورات پیچیده و متغیر که توسط مدل‌های AI به کدهای قابل اجرا تبدیل می‌شوند.
- دور زدن تحلیل‌های ایستا: دشوارتر شدن شناسایی الگوهای ثابت ارتباطی (Hardcoded C2 addresses) به دلیل ماهیت احتمالی و متغیر پاسخ‌های LLM.
چالش‌های جدید برای تیم‌های SOC
این رویکرد جدید، تحلیلگران مرکز عملیات امنیت (SOC) را با چالشی جدی روبرو می‌کند؛ چرا که ترافیک ارتباطی بدافزار اکنون در قالب درخواست‌های API به سرویس‌های شناخته شده هوش مصنوعی یا مدل‌های میزبانی شده در Cloud قرار می‌گیرد. این امر باعث می‌شود تشخیص ترافیک مخرب از ترافیک تجاری و قانونی سازمان‌ها بسیار دشوارتر شود.
