Mar 10, 2023 Dario Orlandi Concept, Keylogger, Minacce, Minacce, News, RSS 0

I ricercatori di HYAS Labs hanno dimostrato un attacco proof-of-concept, che hanno denominato BlackMamba, che sfrutta un modello di linguaggio di grandi dimensioni (LLM) per sintetizzare al volo una funzione di keylogger polimorfico.

L’attacco è veramente polimorfico poiché ogni volta che BlackMamba viene eseguito, risintetizza la sua funzione di keylogging, come hanno spiegato i ricercatori in un articolo pubblicato sul sito dell’azienda.

BlackMamba dimostra come l’intelligenza artificiale possa aiutare il malware a modificare un codice innocuo in fase di esecuzione senza la necessità di un’infrastruttura di comando e controllo, rendendo difficile la sua rilevazione da parte dei sistemi di sicurezza automatizzati.

I ricercatori di HYAS Labs hanno testato l’attacco contro un sistema di rilevamento e risposta degli endpoint (EDR) leader del settore, senza ricevere alcun avviso o rilevamento.

Esfiltrazione via Teams

BlackMamba utilizza la sua capacità di keylogging integrata per raccogliere informazioni sensibili, inclusi nomi utente, password e numeri di carte di credito, e poi utilizza Microsoft Teams per inviare i dati raccolti a un canale Teams dannoso.

MS Teams è uno strumento di comunicazione e collaborazione legittimo ampiamente utilizzato dalle organizzazioni, quindi gli autori di malware possono sfruttarlo per aggirare le difese di sicurezza tradizionali, come firewall e sistemi di rilevamento delle intrusioni.

Inoltre, poiché i dati vengono inviati su canali crittografati, può essere difficile rilevare che un canale viene utilizzato per l’esfiltrazione.

Il sistema di delivery di BlackMamba si basa su un pacchetto Python open source, il che consente agli sviluppatori di convertire gli script Python in file eseguibili autonomi che possono essere eseguiti su varie piattaforme, tra cui Windows, macOS e Linux.

Gli autori del proof-of-concept hanno commentato: “Le minacce poste da questa nuova generazione di malware sono molto reali. Eliminando la comunicazione C2 e generando nuovo codice univoco in fase di esecuzione, malware come BlackMamba è praticamente non rilevabile dalle soluzioni di sicurezza predittiva attuali”.