TA547 ha usato l’IA per generare uno script Powershell e distribuire malware

Apr 11, 2024 Attacchi, News, RSS

---

Il pericolo dell’IA usata dal cybercrimine si sta facendo sempre più reale: i ricercatori di Proofpoint hanno individuato uno script Powershell malevolo che sembra essere stato generato da un chatbot.

A marzo i ricercatori hanno scoperto una campagna di phishing del gruppo TA547 che distribuiva il malware Rhadamanthys, un information stealer utilizzato da molti gruppi cybercriminali. Gli attaccanti hanno colpito numerose organizzazioni tedesche inviando email dove si fingevano agenti di Metro, una multinazionale, che chiedevano approfondimenti relativi a fatture.

I messaggi contenevano un file ZIP protetto da password che conteneva un file LNK. Una volta eseguito, il file attivava la Powershell per eseguire uno script remoto. Lo script decodificava il file in Base64 di Rhadamanthys, lo caricava in memoria come assembly e poi eseguiva l’entry point dell’assembly; in questo modo, il malware poteva essere eseguito senza permanenza su disco.

Analizzando lo script Powershell, i ricercatori sono giunti alla conclusione che è altamente probabile che sia stato scritto dall’IA: lo script includeva una serie di commenti molto specifici e grammaticalmente corretti che spiegavano il funzionamento dei singoli componenti e funzioni, caratteristiche tipiche degli output dei chatbot.

La campagna individuata da Proofpoint è un’indicazione importante di come il panorama del cybercrimine si sta evolvendo per integrare sempre di più l’IA nelle sue attività. I chatbot possono aiutare i cybercriminali a eseguire attacchi sofisticati e modificare velocemente il funzionamento dei malware; inoltre, anche chi ha poche conoscenze di programmazione può realizzare attacchi con poco sforzo.

L’intelligenza artificiale ha il potenziale di rendere inefficaci le difese attualmente in atto. Nel caso specifico di TA547 lo script, verosimilmente creato con l’IA, è stato usato solo per distribuire l’information stealer e non per modificare il comportamento del malware; ciò ha permesso ai tool di sicurezza di individuare e fermare il malware.

I tool di IA, però, stanno evolvendo rapidamente e il cybercrimine può usarli a suo vantaggio per realizzare malware più efficaci capaci di modificare il proprio comportamento in base alle difese e alle configurazioni del dispositivo colpito. I casi di intelligenza artificiale usata per gli attacchi informatici saranno sempre più frequenti, e ciò conferma la necessità di definire controlli più severi per limitare i rischi derivanti da usi impropri.

---

• Intelligenza artificiale, malware, Phishing, PowerShell, script, TA547

---

---