Los investigadores de ciberseguridad han descubierto que es posible utilizar modelos de lenguaje grandes (LLM) para generar nuevas variantes de código JavaScript malicioso a escala de una manera que pueda evadir mejor la detección.
“Aunque los LLM luchan por crear malware desde cero, los delincuentes pueden usarlos fácilmente para reescribir u ofuscar el malware existente, lo que hace que sea más difícil de detectar”, investigadores de la Unidad 42 de Palo Alto Networks. dicho en un nuevo análisis. “Los delincuentes pueden incitar a los LLM a realizar transformaciones que tienen un aspecto mucho más natural, lo que hace que la detección de este malware sea más difícil”.
Con suficientes transformaciones a lo largo del tiempo, el enfoque podría tener la ventaja de degradar el rendimiento de los sistemas de clasificación de malware, engañándolos haciéndoles creer que un fragmento de código nefasto es en realidad benigno.
Si bien los proveedores de LLM han aplicado cada vez más barreras de seguridad para evitar que se descarrilen y produzcan resultados no deseados, los malos actores han anunciado herramientas como WormGPT como una forma de automatizar el proceso de elaboración de correos electrónicos de phishing convincentes que se dirigen a posibles objetivos e incluso crean nuevos malware.
En octubre de 2024, OpenAI reveló que había bloqueado más de 20 operaciones y redes engañosas que intentaban utilizar su plataforma para reconocimiento, investigación de vulnerabilidades, soporte de secuencias de comandos y depuración.
Unit 42 dijo que aprovechó el poder de los LLM para reescribir de forma iterativa muestras de malware existentes con el objetivo de eludir la detección mediante modelos de aprendizaje automático (ML) como Innocent Until Proven Guilty (IUPG) o PhishingJSallanando efectivamente el camino para la creación de 10,000 nuevas variantes de JavaScript sin alterar la funcionalidad.
La técnica adversaria de aprendizaje automático está diseñada para transformar el malware utilizando varios métodos (a saber, cambio de nombre de variables, división de cadenas, inserción de código basura, eliminación de espacios en blanco innecesarios y una reimplementación completa del código) cada vez que se introduce en el sistema como aporte.
“El resultado final es una nueva variante del JavaScript malicioso que mantiene el mismo comportamiento del script original, aunque casi siempre tiene una puntuación maliciosa mucho más baja”, dijo la compañía, agregando que el algoritmo codicioso invirtió el veredicto de su propio modelo de clasificación de malware de malicioso. a benigno el 88% de las veces.
Para empeorar las cosas, estos artefactos de JavaScript reescritos también evaden la detección de otros analizadores de malware cuando se cargan en la plataforma VirusTotal.
Otra ventaja crucial que ofrece la ofuscación basada en LLM es que sus muchas reescrituras parecen mucho más naturales que las logradas por bibliotecas como obfuscator.io, estas últimas son más fáciles de detectar y tomar huellas digitales de manera confiable debido a la forma en que introducen cambios en el código fuente.
“La escala de nuevas variantes de códigos maliciosos podría aumentar con la ayuda de la IA generativa”, afirmó la Unidad 42. “Sin embargo, podemos utilizar las mismas tácticas para reescribir código malicioso y ayudar a generar datos de entrenamiento que puedan mejorar la solidez de los modelos de aprendizaje automático”.
La revelación se produce cuando un grupo de académicos de la Universidad Estatal de Carolina del Norte ideó un ataque de canal lateral denominado TPUXtracto para realizar ataques de robo de modelos en las unidades de procesamiento tensor de Google Edge (TPU) con 99,91% de precisión. Esto podría luego explotarse para facilitar el robo de propiedad intelectual o ataques cibernéticos posteriores.
“En concreto, mostramos una hiperparámetro ataque de robo que puede extraer todas las configuraciones de capas, incluido el tipo de capa, la cantidad de nodos, los tamaños del kernel/filtro, la cantidad de filtros, los pasos, el relleno y la función de activación”, dijeron los investigadores. “Lo más notable es que nuestro ataque es el primer ataque integral que pueden extraer modelos nunca antes vistos”.
El ataque de caja negra, en esencia, captura señales electromagnéticas emanadas por la TPU cuando se están realizando inferencias de redes neuronales (una consecuencia de la intensidad computacional asociada con la ejecución de modelos de aprendizaje automático fuera de línea) y las explota para inferir hiperparámetros del modelo. Sin embargo, depende de que el adversario tenga acceso físico a un dispositivo objetivo, sin mencionar la posesión de equipos costosos para investigar y obtener rastros.
“Como robamos la arquitectura y los detalles de las capas, pudimos recrear las características de alto nivel de la IA”, dijo Aydin Aysu, uno de los autores del estudio. dicho. “Luego utilizamos esa información para recrear el modelo funcional de IA, o un sustituto muy cercano de ese modelo”.
About the Author
