Los atacantes utilizan IA para automatizar las pruebas de elusión de EDR

Los analistas de Sophos X-Ops publicaron una investigación esta semana sobre un actor de amenazas no identificado tecnología de inteligencia artificial para desarrollar tácticas de evasión de detección y respuesta de puntos finales (EDR) bajo lo que la compañía llama su marco de post-explotación “Equipo Rojo”.

«La actividad se detectó cuando un punto final anómalo registrado en un inquilino del cliente activó alertas para cargas útiles originadas en C:\Users\Users\Documents\test», dijo Sophos en su publicación de blog. «Varios archivos en este directorio eran maliciosos y sugerían un marco de ataque más amplio diseñado para evadir la detección».

Los analistas de Sophos descubrieron la presencia de varios scripts de Python escritos en ruso y, al menos parcialmente, generados por IA. Esto en sí mismo no es sorprendente, ya que los actores de amenazas utilizan la tecnología Large Language Model (LLM) para hacer esto. Crear malware y llevan perpetrando ataques desde hace algún tiempo.

Lo más novedoso es que estos scripts se han adaptado a un panel y laboratorio automatizado de Active Directory (AD) que desarrolla y prueba de forma iterativa malware contra agentes EDR de Sophos, CrowdStrike y Windows Defender. Los atacantes probarían el malware utilizando las herramientas EDR, recopilarían observaciones y el panel AD automatizado seleccionaría la siguiente tarea de una lista predefinida antes de reenviar el trabajo a agentes remotos y volver a evaluarlo una vez que se completara.

Relacionado:El gusano web de China utiliza Discord y Microsoft Graphs para piratear a los gobiernos de la UE

Los actores de amenazas crean el EDR Evasion Lab

Mientras Desarrollo de malware de IA Si bien el laboratorio de EDR era «más limitado» y se utilizaba para respaldar experimentos y coordinar flujos de trabajo, «era un ciclo de pruebas técnicas estructurado que incluía revisión e iteración humanas». En otras palabras, Sophos observó cómo los atacantes realizaban pruebas iterativas para crear malware más eficaz: crear, probar, analizar y perfeccionar.

Para profesionalizar aún más sus flujos de trabajo, los artefactos en el repositorio Git del atacante revelaron evidencia de que el atacante estaba examinando la investigación de los proveedores para identificar posibles técnicas de evasión de malware. Los atacantes asignaron agentes para examinar esta información, extraer información relevante, asignar técnicas identificadas a las técnicas MITRE ATT&CK, preparar y probar el entorno de prueba de laboratorio.

El entorno de prueba del atacante utilizó varias máquinas virtuales que ejecutaban Windows Server 2022 para emular un proceso de equipo rojo, incluida la configuración de su propio entorno de control dedicado. «Una máquina virtual probó las herramientas de derivación del agente de Sophos, otra era para el agente CrowdStrike y una tercera era un entorno de control sin agente EDR instalado. Una cuarta máquina virtual que ejecutaba una versión de Ubuntu era un servidor C2 de marco de post-explotación Sliver», dijo Sophos.

Relacionado:La FCC alivia la prohibición de enrutadores fabricados en el extranjero

Sophos ha identificado varias herramientas LLM que utilizó el actor de amenazas, incluidas AI-Editor de codificación asistido Cursor para el desarrollo de malware y Claude Opus como modelo principal utilizado por los agentes de IA del atacante. Los agentes se utilizaron en particular para organizar y automatizar pruebas de malware, así como para proporcionar otras funciones relacionadas con la seguridad operativa.

Concéntrate en lo importante

Si bien el blog se centra en el nuevo entorno de prueba de malware, Sophos dijo que este marco fue diseñado para permitir una actividad sigilosa posterior a la explotación en entornos de destino y que la actividad estaba vinculada a «implementaciones conocidas de ransomware y operaciones de robo de datos».

Sophos señala que si bien existen elementos sofisticados para esta actividad, las organizaciones aún pueden protegerse a través de mejores prácticas, como ejercer una defensa en profundidad. «Los fundamentos siguen siendo críticos, incluidos parches oportunos, autenticación multifactor (MFA), mecanismos de autenticación modernos como claves de acceso y una amplia implementación de una solución EDR eficaz», dijo Sophos.

Dark Reading se puso en contacto con Sophos para obtener más información.