Uma nova ferramenta encontrou malware guiado por uma mente de colmeia de IA – sem humanos à vista

Durante anos, a segurança cibernética os profissionais rastrearam diferentes tipos de malware e detectaram possíveis infecções usando impressões digitais para identificar diferentes ferramentas de hacking e acompanhar seu uso ao longo do tempo. À medida que os invasores incorporam cada vez mais IA agente componentes em suas ferramentas de hacking, pesquisadores da Cisco Talos compartilharam uma estrutura de código aberto na segunda-feira que eles esperam que seja amplamente usada para classificar e analisar Malware integrado à IA. Eles também têm provas de que já está funcionando.

Eles estão chamando a estrutura de Rede de Pesquisa de Inteligência de Artefatos Cognitivos, ou CAIRNbatizado em homenagem às pilhas de pedras que os caminhantes colocam nas trilhas para marcar o caminho ou enfatizar algo sobre determinado local. À medida que os autores de malware expandem o uso de serviços de IA, os pesquisadores do Cisco Talos usaram o CAIRN para identificar uma ferramenta de hacking com infraestrutura de comando e controle totalmente autônoma. Dublado QUORUM FECHADOo malware planejou seus movimentos dentro de um sistema alvo pesquisando até quatro grandes modelos de linguagem (LLMs) sobre o que deveria fazer e seguindo suas diretrizes dessa mente coletiva.

“A ideia central é que a integração da IA ​​tenha vestígios, como impressões digitais, que são deixados para trás”, diz Ryan Fetterman, pesquisador de segurança da Cisco Talos que liderou o desenvolvimento do CAIRN. “Isso nos dá um sinal que podemos usar para rastrear essas amostras, classificá-las e observar o que está acontecendo. O que os invasores estão tentando? Que tipo de comportamento emergente estamos vendo? Esse é um recurso valioso para a comunidade defensiva à medida que essas coisas se tornam mais comuns.”

Em julho de 2025, a unidade ucraniana de resposta à cibersegurança CERT-UA avisado sobre uma campanha de phishing detectada usando malware conhecido como “LAMEHUG”. O implante se comunicou com um LLM chamado Qwen2.5-Coder-32B-Instruct por meio de uma API Hugging Face para obter comandos. “Na época eu pensei: ‘Uau, isso é incrível. Haverá um grande boom de malware habilitado para IA e o cenário vai mudar totalmente'”, diz Fetterman.

Porém, um ano depois, quando neste verão fez uma retrospectiva sobre malware integrando IA, Fetterman ficou chocado ao ver que ainda só conseguiu encontrar alguns exemplos documentados. “Na verdade, não havia muita coisa ali. Acho que descobri talvez nove famílias de malware com nomes diferentes”, e algumas delas eram provas de conceito criadas para pesquisa, diz ele. “Simplesmente não era o que eu esperava e acho que também tive dificuldade em acreditar que essa era a realidade de onde estávamos. Então, quis começar a me aprofundar nisso.”

O resultado é o CAIRN, que foi projetado para sinalizar características e atributos de integração de IA a partir de metadados e usá-los para classificar e marcar amostras de malware com, essencialmente, um ID exclusivo. O sistema então analisa cada artefato no contexto de tudo na biblioteca CAIRN e os agrupa por várias características para ilustrar possíveis tendências e conexões. Fetterman diz que depois de trabalhar e usar o CAIRN nos últimos meses, ele descobriu cerca de 20 exemplos adicionais de malware integrado à IA.

“Portanto, embora eu ache que isso ainda é em grande parte experimental para os invasores, o cenário é muito mais complexo e diversificado do que foi divulgado publicamente”, diz ele. “Há muita coisa acontecendo por aí e isso fornece um sinal inicial valioso sobre o que vai acontecer.”

A ferramenta de hacking CLOSEDQUORUM que o CAIRN identificou é um malware do Windows que verifica com DeepSeek, Qwen, Mistral e Google Gemini para desenvolver um consenso sobre quais devem ser seus próximos passos. Mesmo que um serviço de IA não esteja disponível, o malware ainda sonda os outros, criando redundância suficiente para que o sistema fique totalmente fechado e não tenha nenhum mecanismo para intervenção humana. Os pesquisadores do Cisco Talos viram algumas ligações entre malware e fóruns de cibercriminosos sobre fraudes de cartão de crédito que remontam a 2025, e ele foi projetado para roubar credenciais de login e criptomoedas. Os pesquisadores não conseguiram confirmar quem desenvolveu o malware ou se ele realmente foi usado em ataques no mundo real.

“Inicialmente, todos viam a IA como uma ferramenta de produtividade, certo?” diz Matt Olney, diretor sênior de inteligência de ameaças da Cisco Talos, referindo-se tanto ao trabalho legítimo quanto ao hacking malicioso. “Agora o que estamos vendo é que isso está se tornando operacionalizado. Então, para os invasores, está permitindo que eles executem mais campanhas, acessem mais espaços, manuseiem mais e diferentes computadores, porque eles têm uma caixa muito inteligente no backend que pode fazer perguntas e dar respostas.”

Source link