В SIEM Alertix появилось правило для обнаружения кибератак с использованием языковых моделей
Компания NGR Softlab добавила в SIEM-систему Alertix новое правило корреляции, предназначенное для выявления подозрительной активности, связанной с использованием коммерческих языковых моделей (LLM) в ходе кибератак. Разработка учитывает новый сценарий компрометации, при котором вредоносное ПО обращается к нейросетям через легитимные API для определения дальнейших действий в атакуемой инфраструктуре.
Исследователи Cisco Talos описали подобный механизм на примере вредоносного ПО CLOSEDQUORUM. В отличие от более привычных сценариев, когда искусственный интеллект используется злоумышленниками для написания вредоносного кода или подготовки атак, в данном случае языковые модели задействуются непосредственно в процессе компрометации. Вредоносная программа передаёт модели информацию об атакуемой инфраструктуре и использует полученные ответы для выбора последующих действий.
Особенность такого подхода заключается в том, что взаимодействие с языковыми моделями происходит через легитимные API коммерческих сервисов. При этом обращения к ChatGPT, DeepSeek, Gemini и другим LLM могут быть частью обычных корпоративных процессов. Поэтому сами по себе такие запросы не позволяют однозначно определить вредоносную активность, а их блокировка может повлиять на работу бизнес-приложений.
Для обнаружения подобных угроз аналитический центр NGR Softlab разработал правило корреляции «Обращение процесса к API LLM перед доступом к LSASS», которое вошло в коробочный набор экспертизы SIEM Alertix.
Правило анализирует последовательность действий программ в инфраструктуре компании. Сначала система фиксирует обращение процесса к API языковой модели, а затем отслеживает попытки этого же процесса получить доступ к памяти системного процесса Windows, в которой могут находиться учётные данные пользователей.
Такой подход позволяет выявлять потенциально опасную активность на основании сочетания нескольких событий. При этом обнаружение не зависит от уникальных признаков конкретного вредоносного файла, поэтому правило может применяться и к другим сценариям атак, в которых взаимодействие с внешними LLM сопровождается попытками доступа к чувствительным данным операционной системы.
«Использование языковых моделей непосредственно в ходе атаки меняет подходы к управлению вредоносным ПО, но не отменяет уже известных техник злоумышленников. Обращения к внешним сервисам и попытки доступа к системным данным по-прежнему оставляют следы в телеметрии. Анализ последовательности таких событий позволяет выявлять подозрительную активность даже в условиях, когда отдельные действия программы выглядят легитимными», — комментирует Андрей Шабалин, руководитель группы анализа данных NGR Softlab.
Новое правило уже доступно в составе коробочного набора экспертизы Alertix. Для его работы требуется сбор телеметрии Sysmon с контролируемых Windows-хостов.
