AI kasutamist järeldatakse eelkõige koodi põhjal, mida on tekstirobotile iseloomulikult kommenteeritud. Ründekoodi puhul koodikirjutaja üldjuhul kommentaare ei lisa, et muuta koodi analüüsimine ja mõistmine keerulisemaks. Seni avastatud ründekoodid, mille puhul kahtlustatakse AI kasutamist koodi genereerimisel, on olnud põhjalikult kommenteeritud, kusjuures kommenteeritud on tegevusi, mida kood teeb, mitte selgitades koodi komponentide eesmärki. AI võimalused annavad ka algelisema tasemega häkkerile võimaluse teostada edasijõudnud ründeid.
HP toob oma raportis välja, et sageli kasutavad AI-mudeleid koodi genereerimiseks kesisemate tehniliste oskustega küberkurjategijad. Juunis tuvastas HP Prantsuse internetikasutajate vastu läbi viidud õngitsuskampaania. Seal kasutati HTML-smuggling rünnet, kus veebirakenduse koodi kasutatakse pahavara failide edastamiseks. Tegu on kliendipoolse ründega, mille puhul ründetegevus toimub kasutaja veebibrauseris. Ründe käigus edastati parooliga kaitstud ZIP-faile, mis sisaldasid JavaScripti ja VBScripti (Windowsi aegunud skriptimiskeel) koodi. Failide sisuks oli põhjalikult kommenteeritud kood, mida juhtub inimese loodud skripti puhul harva.
Turvaeksperdid kasutasid jõurünnet, et parool murda ja ZIP-faili sisu vaadata. Nad avastasid ründekoodi, mis käivitas masinas protsesse ja kirjutas Windowsi registrisse uusi võtmeid. Samuti võimaldas see laadida ja käivitada ohvri masinas ASyncRATi (Remote Access Tool, kaugpääsuvahend) tarkvara, mis salvestab kasutaja klahvivajutusi ning loob ründetegevuseks krüpteeritud kanali. Ekspertide sõnul viitavad koodi struktuur, kommentaarid ja muutujate ning funktsioonide nimedeks valitud kõnekeelsed sõnad, et tegu pole inimese loodud skriptiga. (BC)
Hiina ja Iraani grupeeringud rajavad teed
Ka OpenAI tunnistab aruandes, et nende ChatGPT mudelit on kasutatud erinevate rünnete ettevalmistamiseks – nt pahavara arendamiseks, valeinfo levitamiseks ja õngitsuste loomiseks. Selle aasta algusest on nad teatanud enam kui 20 juhtumist. Märkimisväärsemad tegevused on puudutanud Hiina ja Iraaniga seotud grupeeringute GPT mudeli kasutamist oma operatsioonide efektiivsemaks muutmiseks.
Eelmise aasta novembris teavitas OpenAI Hiinaga seotud grupeeringust SweetSpecter, mille varasemaks sihtmärgiks on olnud Aasia riikide valitsusasutused. OpenAI sõnul olid seekord sihikul nende enda töötajad, kellele saadeti e-kirjaga ZIP-fail, mille avamisel levis pahavara SugarGh0st RAT. Ettevõtte teatel kasutas SweetSpecter keelemudelit, et luua skripte ja teostada haavatavuse analüüsi.
Eesti sai samuti AI-ründekoodiga pihta
Teine juhtum puudutab Iraani valitsusega seostatud rühmitust CyberAv3ngers, mis ründab peamiselt lääneriikide tööstusettevõtete juhtimissüsteeme. Nimelt lasid grupeeringu liikmed oma kasutajakontode alt genereerida Pythoni ja Bashi ründekoodi, võttes sihikule tööstuses kasutatavad programmeeritavad loogikakontrollerid (PLC). Mitmed ründed ka õnnestusid – teiste seas said 2023. aasta novembris ja detsembris pihta paarkümmend Eesti katlamaja ja veejaama ning üks ehitusmaterjalide tootja. Samasugused ründed tabasid näiteks Pennsylvania ja teiste USA osariikide veesektori ettevõtteid ning ühe Iirimaa vee-ettevõte kliendid jäid kaheks päevaks ilma veeta. Rühmitusel olid plaanis ka rünnete järeltegevused, nt jälgida internetivõrke ja varastada macOSi kasutajate paroole.
Iraaniga on seotud ka Storm-0817 grupeering, kes lasi ChatGPT-l parandada ründekoodi, mis aitas luua Instagrami kaabitsat (scraper, mille eesmärk on koguda veebist andmeid, nt kuvatõmmised) ning tõlkis Pakistani küberturbeekspertide LinkedIni profiilid pärsiakeelseks. Sealjuures kasutas Storm-0817 GPT-d serveripoolse koodi väljatöötamiseks, et hallata kompromiteeritud seadmeid.
OpenAI sõnul on kõik kurjategijate ChatGPT kontod eemaldatud ning nende IP-aadresse on jagatud küberturvalisusega tegelevate partneritega. (BC, SW)
Küberkurjategijad lähevad kaitsemeetmetest mööda
Veebruaris avastati Microsoft Azure AI-st turvanõrkused, mis võimaldasid mööda minna AI-sse sisse ehitatud kaitsetest ja küsida detailseid juhiseid kuritegude sooritamiseks. Möödumine oli võimalik, kui AI-le esitatud küsimuses kasutati ASCII märkide asemel erisümboleid (special characters), lisatühikuid, homoglüüfe (nt „0“ ja „O“), diakriitikuid („a“ ja „á“) või tähtede numbrilisi asendusi. Seetõttu ei tundunud mudel pahatahtlikku päringut (prompt) ära ja andis kasutajale detailsed juhised ründe toimepanemiseks, näiteks krediitkaardipettuseks. Selline turvanõrkus koos eelnevalt mainitud AI kasutusviisidega võimaldab küberründeid sooritada ka erialateadmisteta ründajal. (Mindgard, HR)
Kokkuvõtteks saab öelda, et kuigi AI-mudeleid haldavad ja arendavad ettevõtted tegelevad järjepidevalt ohtude ennetamise ja kuritahtlikke võimaluste eemaldamisega, leiavad küberkurjategijad ikkagi viise sellest mööda hiilimiseks. See annab üha rohkem võimalusi tehniliselt ebapädevamatele häkkeritele, kes võivad osavate päringutega luua rünneteks sobiva pahavara. Teisalt võimaldab see edasijõudnud arendajatel ründekoodi kirjutamist efektiivsemaks muuta. Keelemudeli loodud koodi läbivateks tunnusteks võivad olla iseloomulikud muutujanimed, struktuur ja äratuntavalt sõnastatud kommentaarid.
Loomise kuupäev: 07.11.2024
