المقدمة
أصبحت البرمجيات الخبيثة المدعومة بالذكاء الاصطناعي رائجة جدًا الآن. لطالما ناقشنا كيف يمكن للجهات الفاعلة في مجال التهديدات شن هجمات باستخدام نماذج الذكاء الاصطناعي، وها هي تجربة إثبات المفهوم (PoC) تُثبت ذلك تمامًا. على الرغم من عدم رصدها في الهجمات النشطة حتى الآن، فمن يدري إن كانت تُستغل بالفعل من قِبل الجهات الفاعلة في مجال التهديدات لاستهداف المؤسسات؟
نتحدث هنا عن برنامج PromptLock ، الذي كشفت عنه شركة ESET Research. يُعدّ PromptLock أول برنامج فدية معروف يعمل بتقنية الذكاء الاصطناعي. يستغلّ هذا البرنامج نصوص Lua البرمجية المُولّدة من أوامر مُبرمجة مسبقًا لحصر نظام الملفات المحلي، وفحص الملفات المستهدفة، واستخراج البيانات المُختارة، وتشفيرها. تتوافق نصوص Lua هذه مع أنظمة تشغيل متعددة، حيث تعمل على أنظمة Windows وLinux وmacOS . يستخدم PromptLock خوارزمية التشفير SPECK ذات 128 بت لتشفير الملفات.
يُعدّ برنامج الفدية بحد ذاته من أخطر أنواع البرامج الضارة. وعندما يُنشأ باستخدام الذكاء الاصطناعي، يصبح الأمر أكثر خطورة. يستغل برنامج PromptLock نماذج لغوية ضخمة (LLMs) لتوليد نصوص برمجية خبيثة ديناميكيًا. تُشغّل هذه النصوص البرمجية المكتوبة بلغة Lua، والمولدة بواسطة الذكاء الاصطناعي، أنشطته الخبيثة، مما يجعلها مرنة بما يكفي للعمل على أنظمة Windows وLinux وmacOS.
محة فنية:
تمت كتابة البرامج الضارة بلغة Go (Golang) وتتواصل مع LLM المستضاف محليًا من خلال واجهة برمجة تطبيقات Ollama.
عند تنفيذ هذا البرنامج الخبيث، سنلاحظ أنه يقوم بالاتصال بـ LLM المستضاف محليًا من خلال واجهة برمجة تطبيقات Ollama.
يحدد البرنامج ما إذا كان الجهاز المصاب حاسوبًا شخصيًا أو خادمًا أو وحدة تحكم صناعية . وبناءً على هذا التصنيف، يقرر PromptLock ما إذا كان سيستخرج البيانات أو يشفرها أو يدمرها.
إنها ليست مجرد عينة متطورة، بل تتضمن جميع مطالبات LLM في الكود نفسه. تستخدم خوارزمية تشفير SPECK 128 بت في وضع ECB.
يتم تخزين مفتاح التشفير في متغير المفتاح على شكل أربع كلمات صغيرة ذات 32 بت: المفتاح المحلي = {key[1]، key[2]، key[3]، key[4]}. يتم توليد هذا بشكل ديناميكي كما هو موضح في الشكل:
يبدأ الفيروس عملية العدوى عن طريق فحص نظام ملفات الضحية وإنشاء قائمة بالملفات المرشحة، وكتابة النتائج في ملف scan.log.
كما يقوم البرنامج بفحص مجلد المستخدم الرئيسي لتحديد الملفات التي قد تحتوي على معلومات حساسة أو بالغة الأهمية (مثل معلومات التعريف الشخصية). ويتم تخزين النتائج في ملف target_file_list.log
على الأرجح، يُنشئ PromptLock أولاً ملف scan.log لتسجيل الملفات المكتشفة، ثم يُضيّق نطاقه إلى target.log، الذي يُحدد المجموعة المراد تشفيرها. تُنشئ العينات أيضًا ملفات مثل payloads.txt للبيانات الوصفية أو للإعداد المرحلي. بمجرد تحديد الأهداف، يُشفّر كل ملف في أجزاء بطول 16 بايت باستخدام SPECK-128 في وضع ECB، مع استبدال المحتوى بنص مشفر.
بعد التشفير، يُنشئ البرنامج رسائل فدية تلقائيًا. قد تتضمن هذه الرسائل تفاصيل محددة مثل عنوان بيتكوين (1A1zP1eP5QGefi2DMPTfTL5SLmv7DivfNa)، وهو أول عنوان بيتكوين تم إنشاؤه على الإطلاق، ومبلغ الفدية. ولأنه مجرد نموذج أولي، فلا توجد بيانات حقيقية.
تعتمد واجهة سطر الأوامر والبرامج النصية الخاصة بـ PromptLock على:
- النموذج=gpt-oss:20b
- com/PeerDB-io/gluabit32
- com/yuin/gopher-lua
- com/gopher-lfs
كما يقوم أيضًا بطباعة العديد من المفاتيح المطلوبة بأحرف صغيرة (بتنسيق "المفتاح: القيمة")، بما في ذلك:
- os
- اسم المستخدم
- الصفحة الرئيسية
- اسم المضيف
- درجة الحرارة
- سبتمبر
- cwd
إرشادات التنفيذ:
- متغيرات البيئة:
اسم المستخدم: os.getenv("USERNAME") أو os.getenv("USER")
الصفحة الرئيسية: os.getenv(“USERPROFILE”) أو os.getenv(“HOME”)
اسم المضيف: os.getenv("COMPUTERNAME") أو os.getenv("HOSTNAME") أو io.popen("hostname"):read("*l")
مؤقت: os.getenv("TMPDIR") أو os.getenv("TEMP") أو os.getenv("TMP") أو "/tmp"
sep: الكشف من package.path (إذا كان يحتوي على "\" ثم "\" وإلا "/")، الافتراضي هو "/"
– os: الكشف عن البيئة وفاصل المسار:
* إذا كان os.getenv("OS") == "Windows_NT" فإن "windows"
* elseif sep == “\” ثم “windows”
* elseif os.getenv("OSTYPE") ثم استخدم تلك القيمةvir
* وإلا "يونيكس"
– cwd: استخدم io.popen(“pwd”):read(“*l”) أو io.popen(“cd”):read(“*l”) حسب نظام التشغيل
الخلاصة:
لقد حان الوقت ليبدأ القطاع بالنظر في حالات البرمجيات الخبيثة هذه. إذا أردنا التغلب على البرمجيات الخبيثة المدعومة بالذكاء الاصطناعي، فعلينا دمج حلول مدعومة بها. في الأشهر القليلة الماضية، لاحظنا ارتفاعًا هائلًا في هذه الحالات، ورغم أن إثباتات المفهوم (PoCs) كافية لاستغلالها لشن هجمات فعلية، إلا أن هذا يُشير بوضوح إلى ضرورة تطور الاستراتيجيات الدفاعية بوتيرة مواكبة للابتكارات الهجومية.
كيف SEQRITE حماية عملائها؟
- قفل المطالبة
- قفل سريع.49912.GC
الشركات الأولمبية الدولية:
- ed229f3442f2d45f6fdd4f3a4c552c1c
- 2fdffdf0b099cc195316a85636e9636d
- 1854a4427eef0f74d16ad555617775ff
- 806f552041f211a35e434112a0165568
- 74eb831b26a21d954261658c72145128
- ac377e26c24f50b4d9aaa933d788c18c
- F7cf07f2bf07cfc054ac909d8ae6223d
المؤلف:
شروتيروبا بانيرجي
راياباتي لاكشمي براسانا ساي
براناف برافين هوندراو
سوبهاجيت سينغا
كارتيك كومار إيشفاربهاي جيفاني
أرافيند راج
راهول كومار ميشرا
