MI által fejlesztett 2FA kihasználás
Kiberbiztonsági kutatók lelepleztek egy korábban azonosítatlan fenyegetést, amely egy feltehetően mesterséges intelligencia segítségével kifejlesztett nulladik napi sérülékenységet kihasznál. Ez az első dokumentált eset, amikor a mesterséges intelligenciát aktívan használják valós rosszindulatú műveletekben sebezhetőségek felderítésére és kihasználási kísérletek generálására.
A nyomozók összehangolt kiberbűnözői csoportoknak tulajdonítják a kampányt, akik úgy tűnik, együttműködtek egy nagyszabású sebezhetőség-kihasználási kezdeményezésben. A kapcsolódó támadási lánc elemzése egy nulladik napi sebezhetőséget tárt fel egy Python szkriptbe ágyazva, amely képes megkerülni a kétfaktoros hitelesítés (2FA) védelmét egy széles körben használt, nyílt forráskódú, webalapú rendszeradminisztrációs platformon.
Bár nincs közvetlen bizonyíték, amely a Google Gemini mesterséges intelligencia eszközét a művelethez kötné, a kutatók nagy bizonyossággal arra a következtetésre jutottak, hogy egy mesterséges intelligencia modell jelentős szerepet játszott a hiba felfedezésében és felhasználásában. A Python kód több, a nagy nyelvi modell (LLM) által generált kimenettel gyakran összefüggő jellemzőt mutatott, beleértve a magasan strukturált formázást, a kiterjedt oktatóanyag-karakterláncokat, a részletes súgómenüket és a tiszta ANSI színimplementációt. A szkript egy kitalált CVSS pontszámot is tartalmazott, ami a mesterséges intelligencia hallucinációjának egy gyakori példája.
Tartalomjegyzék
Hogyan működött a 2FA bypass kihasználása
Az azonosított sebezhetőség sikeres működéséhez legitim felhasználói hitelesítő adatokra volt szükség. A kutatók megállapították, hogy a hiba egy szemantikai logikai gyengeségből ered, amelyet az alkalmazás hitelesítési folyamatán belüli fixen kódolt bizalomfeltevés okozott. Az ilyen magas szintű logikai hibák egyre inkább a modern LLM rendszerek analitikai képességein belül vannak.
Biztonsági szakértők figyelmeztetnek, hogy a mesterséges intelligencia drámaian felgyorsítja a kibertámadások életciklusának minden szakaszát, a sebezhetőségek felderítésétől a kihasználási validáción át az operatív telepítésig. A mesterséges intelligencia egyre növekvő használata a fenyegetéseket elkövető szereplők által csökkenti a gyengeségek azonosításához és a támadások elindításához szükséges időt és erőfeszítést, egyre nagyobb nyomás alá helyezve a védőket.
A mesterséges intelligencia kiterjeszti a rosszindulatú programok és a biztonsági rések kihasználásának lehetőségét
A mesterséges intelligencia már nem korlátozódik a sebezhetőségi kutatások segítésére. A fenyegetések szereplői ma már a mesterséges intelligenciát használják polimorf rosszindulatú programok létrehozására, rosszindulatú műveletek automatizálására és támadási funkciók elrejtésére. Egy figyelemre méltó példa a PromptSpy, egy Android rosszindulatú programtörzs, amely a Gemini rendszert kihasználva elemzi a képernyőn megjelenő tevékenységeket, és olyan utasításokat ad ki, amelyek segítenek a rosszindulatú programnak a legutóbbi alkalmazások listájában maradni.
A kutatók számos nagy horderejű esetet dokumentáltak, amelyek Gemini által támogatott rosszindulatú tevékenységgel kapcsolatosak:
A feltételezetten Kínához köthető UNC2814 kiberkémkedési csoport állítólag személyiségvezérelt jailbreakelő utasításokat használt, hogy a Gemini céget hálózati biztonsági szakértő szerepének vállalására kényszerítse. A cél a beágyazott eszközök, köztük a TP-Link firmware és az Odette File Transfer Protocol (OFTP) implementációit célzó sebezhetőségi kutatások támogatása volt.
Az észak-koreai APT45 fenyegetéstevő állítólag több ezer rekurzív parancsot adott ki a CVE-k elemzésére és a koncepcióbizonyítási exploitok validálására.
A kínai APT27 hackercsoport állítólag a Gemini rendszert használta fel egy flottakezelő alkalmazás fejlesztésének felgyorsítására, amely valószínűleg egy operatív relédoboz (ORB) infrastruktúra kezelésére szolgál.
Az ukrán szervezeteket célzó, Oroszországhoz köthető behatolási műveletek során mesterséges intelligenciával támogatott, CANFAIL és LONGSTREAM néven ismert kártevőcsaládokat alkalmaztak, amelyek LLM által generált csalikódot tartalmaztak a rosszindulatú viselkedés leplezésére.
Fegyveresített kiképzési adatok és autonóm mesterséges intelligencia műveletek
Emellett megfigyelték, hogy a fenyegetéseket elkövető szereplők egy speciális GitHub-repozitóriummal, a „wooyun-legacy”-vel kísérleteznek, amelyet Claude kódfejlesztői bővítményként terveztek. A repository több mint 5000 valós sebezhetőségi esetet tartalmaz, amelyeket eredetileg a kínai WooYun sebezhetőség-feltáró platform gyűjtött össze 2010 és 2016 között.
Azáltal, hogy ezt az adathalmazt betáplálják a mesterséges intelligencia rendszereibe, a támadók lehetővé tehetik a kontextuson belüli tanulást, amely a modelleket arra tanítja, hogy a forráskód elemzését a tapasztalt biztonsági kutatók pontosságával végezzék. Ez jelentősen javítja a mesterséges intelligencia azon képességét, hogy azonosítsa azokat a finom logikai hibákat, amelyeket a standard modellek esetleg figyelmen kívül hagynának.
A kutatók azt is felfedték, hogy egy feltételezetten Kínával szövetséges fenyegetési szereplő mesterséges intelligencia alapú eszközöket, például Hexstrike AI-t és Strix-et vetett be egy japán technológiai vállalat és egy jelentős kelet-ázsiai kiberbiztonsági platform elleni támadások során. Ezek az eszközök állítólag automatizált felderítő és feltáró műveleteket tettek lehetővé minimális emberi beavatkozással.
A támadó mesterséges intelligencia növekvő biztonsági következményei
Az eredmények rávilágítanak a kiberfenyegetések tájképének jelentős változására. A mesterséges intelligencia gyorsan fejlődik a termelékenységi eszközből a támadó kiberműveletek erőszorzójává. A nulladik napi sebezhetőségek felfedezésétől a rosszindulatú programok telepítésének automatizálásán át az operatív lopakodás fokozásáig a mesterséges intelligencia alapvetően megváltoztatja a kibertámadások tervezésének és végrehajtásának módját.
Ahogy a mesterséges intelligencia által vezérelt kiberbiztonsági képességek egyre fejlődnek, a szervezetek olyan jövővel néznek szembe, ahol a támadások gyorsabbak, alkalmazkodóbbak és egyre nehezebben észlelhetők lesznek, mielőtt a kár bekövetkezne.
