گزارش‌های جدید از ظهور یک رویکرد نوآورانه در حملات سایبری خبر می‌دهند که در آن از مدل‌های زبانی بزرگ (LLM) برای مدیریت زیرساخت‌های فرمان و کنترل (C2) در ایمپلنت‌های ویندوزی استفاده شده است. این اولین مورد مستند شده‌ای است که در آن یک بدافزار برای ارتباط با سرور کنترلer، از قابلیت‌های پردازش زبان طبیعی بهره می‌برد.
تحلیل فنی تغییر در TTPها
به طور سنary، ایمپلنت‌ها از پروتکل‌های استاندارد یا تونل‌های رمزنگاری شده برای دریافت دستورات استفاده می‌کنند. اما در این تکنیک جدید، عامل تهدید (Threat Actor) با ادغام LLM در چرخه C2، تلاش می‌کند تا الگوهای ترافیکی را تغییر داده و شناسایی توسط سیستم‌های تشخیص نفوذ (IDS) و تحلیل‌گران SOC را دشوارتر کند.
- پنهان‌سازی ترافیک: استفاده از مدل‌های زبانی برای تولید دستورات پویا که باعث می‌شود ترافیک شبکه شبیه به تعاملات انسانی با چت‌بات‌ها به نظر برسد.
- انعطاف‌پذیری در دستورات: امکان تفسیر دستورات پیچیده و غیرساختاریافته توسط LLM پیش از تبدیل آن‌ها به کدهای اجرایی در سیستم قربانی.
- دور زدن Signature-based Detection: به دلیل ماهیت تولیدی و متغیر پاسخ‌های LLM، شناسایی این ارتباطات از طریق امضاهای ثابت (Static Signatures) تقریباً غیرممکن است.
این تحول در تاکتیک‌ها و تکنیک‌ها (TTPs)، لزوم به‌روزرسانی استراتژی‌های شکار تهدید (Threat Hunting) و تمرکز بیشتر بر تحلیل رفتاری (Behavioral Analysis) را بیش از پیش نمایان می‌کند.
