Sulmet e rreme me AI përdorin marka të besuara për të përhapur malware
Sipas kërkimeve nga ANY.RUN, sulmet e rreme me AI po imitojnë shërbime të njohura për të përhapur malware, për të vjedhur browser sessions aktive dhe për të komprometuar llogaritë e bizneseve. Kompania e sigurisë lidhi 1,258 analiza publike në sandbox me këto fushata midis prillit dhe tetorit 2026. Bizneset amerikane përbënin 16% të objektivave për të cilat ishte përcaktuar një shtet, duke e bërë këtë aktivitet të rëndësishëm për kompanitë dhe managed security service providers përgjegjës për mjediset amerikane.
Fushatat kopjojnë pamjen e Claude, ChatGPT, GitHub Copilot, Gemini dhe shërbimeve të tjera AI. ANY.RUN gjeti karrema në rezultatet e sponsorizuara të kërkimit, në shërbime legjitime hostimi, brenda bisedave të përbashkëta me AI dhe në faqe të falsifikuara shkarkimi. Punonjësit nxiten të ekzekutojnë komanda, të instalojnë aplikacione të modifikuara ose të fusin credentials në faqe mashtruese sign-in. Meqë emrat dhe workflows duken të njohur, një punonjës mund të besojë se po kryen një detyrë të zakonshme instalimi ose authentication.
Në një fushatë që imitonte Claude, një faqe e krijuar për t’i ngjarë faqes zyrtare të shkarkimit të shërbimit paraqiste një buton shkarkimi për Windows. Zgjedhja e tij kopjonte një komandë në clipboard të vizitorit dhe shfaqte udhëzime për ekzekutimin e asaj komande përmes PowerShell, një mjet i Windows që përdoret për automatizimin dhe administrimin e kompjuterëve. Komanda nuk instalonte aplikacionin e pritur. Në vend të kësaj, ajo niste mshta.exe, një program legjitim i Windows që mund të hapë skedarë HTML Application, merrte një HTA file keqdashës dhe niste një sekuencë të koduar PowerShell. Analizat e përfunduara nga ANY.RUN identifikuan aktivitet malware për vjedhjen e informacionit në execution chain që rezultoi.
Kjo metodë mund ta ndërlikojë detection, sepse punonjësi e nis procesin, mjete legjitime të Windows kryejnë pjesë të aktivitetit dhe payload keqdashës nuk shfaqet derisa të jenë ekzekutuar disa faza. ANY.RUN identifikoi gjithashtu sjellje të përsëritura në të gjitha fushatat, duke përfshirë komanda të dyshimta instalimi në PowerShell, ekzekutimin e mshta.exe, udhëzime të koduara shkarkimi dhe scheduled tasks që hapnin browsers për të vjedhur sessions. Një browser session i vjedhur mund t’i lejojë një sulmuesi të ripërdorë një gjendje ekzistuese sign-in, në vend që të fillojë me një login normal.
Fushatat krijojnë një ngarkesë të veçantë pune për një managed security service provider, ose MSSP, i cili monitoron kërcënimet dhe reagon ndaj tyre për klientë të shumtë. Domains, shërbimet e hostimit dhe markat AI që imitohen mund të ndryshojnë, ndërsa veprimet bazë mbeten të ngjashme. Klientë të ndryshëm mund të përdorin gjithashtu teknologji, politika dhe klasifikime rreziku të ndryshme, duke i detyruar analistët të hetojnë vazhdimisht variante të së njëjtës teknikë.
ANY.RUN e ndau këtë trysni operacionale në tri fusha. Ekipet e monitorimit duhet ta ruajnë mbulimin ndërsa sulmuesit ndryshojnë infrastructure dhe marka. Ekipet e triage duhet të shqyrtojnë execution chains me disa shtresa, gjë që mund të shtojë ngarkesën e punës dhe escalations. Më pas, threat hunters duhet të lidhin gjetjet dhe t’i shndërrojnë ato në detection rules të ripërdorshme për mjediset e klientëve të tjerë. Masat operacionale të prekura përfshijnë mean time to detect, mean time to respond, escalation rates, kostot e hetimit dhe respektimin e service level agreements.
Kompania thotë se Interactive Sandbox i saj u lejon analistëve të riprodhojnë klikimet dhe ndërveprime të tjera në një mjedis të izoluar, ndërsa vëzhgojnë processes, network connections dhe sjelljen keqdashëse. Një sandbox është një mjedis testimi i ndarë, i synuar të pengojë software të dyshimtë që të ndikojë drejtpërdrejt te sistemet normale. ANY.RUN raporton një kohë mediane prej 14 sekondash për threat detection dhe 30% më pak escalations nga analistët Tier 1 te stafi më me përvojë Tier 2 kur përdoret sandbox i saj. Këto janë shifra operacionale të raportuara nga vendor dhe të lidhura me shërbimin e vet.
ANY.RUN thotë gjithashtu se Threat Intelligence Feeds të saj ofrojnë indicators of compromise, ose IOCs, të nxjerra nga hetimet e malware dhe phishing. Një IOC është një gjurmë teknike, siç është infrastructure keqdashëse, që mund të ndihmojë në identifikimin e aktivitetit të lidhur. Feeds mund të integrohen në sistemet Security Information and Event Management, të cilat mbledhin dhe analizojnë ngjarjet e sigurisë, dhe në mjetet Endpoint Detection and Response, të cilat monitorojnë kompjuterët për sjellje të dyshimta. Sipas kompanisë, 30% e IOCs unike keqdashëse të gjetura nga klientët e saj gjatë hetimeve në sandbox gjenden tashmë në feeds. Ajo pretendon gjithashtu se 99% e indicators në feeds e saj janë unike krahasuar me burime të tjera intelligence.
Për hetim dhe hunting, Threat Intelligence Lookup i ANY.RUN lidh indicators të dyshimta me sjelljen e malware, rastet e mëparshme të evidentimit dhe infrastructure të lidhur me fushatën. Synimi i deklaruar është që një MSSP të mund të marrë prova nga një infektim te një klient, të kontrollojë për aktivitet të lidhur diku tjetër dhe të përditësojë detection rules rreth sjelljes, në vend që të mbështetet vetëm te domains që sulmuesit mund t’i zëvendësojnë. Kompania thotë se produktet e saj threat intelligence ofrojnë akses në 24 herë më shumë IOCs për incident.
Shifra të tjera të raportuara nga vendor përfshijnë një detection rate 36% më të lartë, deri në 58% më shumë kërcënime të identifikuara dhe një ulje prej 21 minutash të response time. ANY.RUN i paraqet këto rezultate si një mënyrë për të pakësuar hetimet e përsëritura, për t’i ruajtur analistët me përvojë për incidente më komplekse dhe për të mbajtur nivelet e shërbimit ndërsa rritet volumi i alerts. Publikimi që paraqet gjetjet e identifikon artikullin si një material të kontribuar nga një partner, ndaj lexuesit duhet të kuptojnë se pretendimet për performancën operacionale janë pjesë e një prezantimi nga vendor, ndërsa infection chain dhe vëzhgimet e përshkruara të fushatës u atribuohen analizave të ANY.RUN.
Për pronarët e faqeve dhe ekipet IT të bizneseve, mësimi i menjëhershëm është se një faqe shkarkimi e realizuar mirë, përmbajtja e hostuar ose një rezultat i sponsorizuar nuk duhet të konsiderohen të besueshme vetëm sepse u ngjajnë një shërbimi të njohur AI. Udhëzimet e papritura për të ngjitur komanda në PowerShell janë veçanërisht domethënëse, sepse anashkalojnë procesin normal të instalimit të aplikacioneve dhe mund të nisin një infektim me shumë faza. Organizatat duhet gjithashtu të kërkojnë në pajisjet e menaxhuara sjelljet e përsëritura të dokumentuara nga ANY.RUN, në vend që të mbështeten vetëm te adresat e faqeve, të cilat mund të ndryshojnë shpejt.
Për bizneset që po shqyrtojnë menaxhimin më të gjerë të mjedisit të tyre teknologjik, AEU-I ofron IT, infrastructure dhe këshillim me sigurinë si përparësi. Sulmet e rreme me AI mbështeten në fund të fundit te pranimi nga një person i një procesi të rremë instalimi ose sign-in, ndaj procedurat e qarta për instalimin e software dhe shqyrtimi i shpejtë i aktivitetit të pazakontë të llogarive mbeten të rëndësishme krahas monitorimit teknik.