• Akamai Hunt hat eine neue Malware-Variante entdeckt, die sich hinter einem legitimen LLM-API-Endpunkt (Large Language Model) zu verstecken versucht. 

• Die Malware sendet eine Zeichenfolge, die anscheinend Base64-codiert ist, um eine Command-and-Control-Verbindung (C2) aufzubauen, anstatt ein gängiges Schema zu verwenden.

• Die Ausnutzung dieser Schwachstelle kann dem Angreifer eine vollständige Kontrollübernahme und die Extraktion von Daten ermöglichen. 

• Dies ist ein weiteres Beispiel dafür, wie schnell Angreifer ihre Angriffsmethoden weiterentwickeln und wie wichtig es ist, dass Unternehmen sich auf solche modernen Bedrohungen vorbereiten.

Die Bedrohungslandschaft entwickelt sich mit rasender Geschwindigkeit, und Angreifer passen sich schnell an die sich ändernden Bedingungen an. Große Sprachmodelle (LLMs) sind in Unternehmen zunehmend verbreitet sind. Ihr Kommunikationsmuster kann es Angreifern ermöglichen, schädlichen Traffic so zu tarnen, dass er harmlos wirkt.

Die Verteidiger beeilen sich, KI in Erkennungspipelines zu integrieren. Dabei verwenden sie LLMs, um Warnungen zu untersuchen und zusammenzufassen und Indikatoren zu korrelieren. Währenddessen experimentieren allerdings auch Malware-Entwickler mit KI. Wir konnten anhand von Malware wie LameHug und PromptLock bereits erste Beobachtungen machen, wie LLMs, die für die Textgenerierung entwickelt wurden, für böswillige Zwecke missbraucht werden können.

Wir haben auch ein Beispiel dafür gesehen, wie Angreifer die OpenAI-API für eine Command-and-Control-Infrastruktur (C2) in der SesameOp-Backdoor nutzen. Hier zeigt sich, welche ganz neuen Angriffsflächen in der KI-Welt entstehen.

Vor Kurzem entdeckte das Akamai Hunt-Team eine neue Malware, die einen neuen Ansatz für den LLM-Missbrauch verwendet. Dabei wird schädlicher Traffic in das Rauschen von LLM-API-Anfragen gemischt. In diesem Blogbeitrag schildert das Hunt-Team ein Beispiel für die aufkommende Bedrohung, die es im Rahmen der Bereitstellung von Services für Hunt-Kunden entdeckt hat.

Bei der Suche nach neuen LLM-Verwendungen Anwendungen für Malware stießen wir auf eine Datei, die unsere Aufmerksamkeit erregte. Sie war bereits auf VirusTotal als schädlich markiert worden und entsprach mehreren Yara-Regeln. Als wir mit der Untersuchung begannen, erwarteten wir ein weiteres Muster der Codeerstellung über LLM und der Ausführung im System des Opfers.

Die Malware versucht zunächst, über ein Socket eine Verbindung zur IP-Adresse 39.97.57[.]244 herzustellen. Wenn sie jedoch fehlschlägt, fällt sie auf ein interessantes HTTP C2 zurück: 1347790942-k1bok35vg3.ap-guangzhou.tencentscf[.]com/v1/chat/completions.

Nachdem wir die erste HTTP-Anfrage an die API beobachtet hatten, waren wir überrascht, dass sie nicht den erforderlichen Headern für diese Art von Anfrage folgte.

Im Rahmen unserer Nachforschungen suchten wir auch nach Verwendungen von LLM-API-Endpunkten, insbesondere /v1/chat/completions.

Aus der Dokumentation von OpenAI erstellt dieser Endpunkt „eine Modellantwort für die gegebene Chat-Unterhaltung“ (Abbildung 1 und Abbildung 2).

Der /v1/chat/completions-Endpunkt wurde von OpenAI eingeführt und binnen kurzer Zeit von mehreren Anbietern und Gateways nachgeahmt, die OpenAI-kompatible APIs anbieten (zum Beispiel OpenRouter und Hugging Face).

Offizielle APIs anderer Anbieter verwenden jedoch möglicherweise unterschiedliche native Endpunkte oder unterscheiden sich, trotz eines ähnlichen Anfrageschemas, hinsichtlich Parametern, Authentifizierung und Streaming-Verhalten.

In der Regel müssen bei Verwendung dieser API die folgenden erforderlichen Parameter hinzugefügt werden:

• Autorisierung: Ein Bearer-Token-Header in der Form „Authorization: Bearer YOUR_API_KEY“ ist erforderlich, um die Anfrage zu authentifizieren

• Modell: Eine ID-Zeichenfolge, die ein chatfähiges Modell (zum Beispiel gpt-3.5-Turbo oder Lama-4-Maverick-17B-128E-Instruct-FP8) auswählt, an das der Endpunkt Ihre Anfrage weiterleitet

• Nachrichten: Ein Array von Nachrichtenobjekten mit Rollenkennzeichnung (mit Rolle und Inhalt), das den Konversationsverlauf darstellt, die das Modell zum Generieren der nächsten Antwort verwendet

Wie oben erwähnt, haben wir bereits eine reale schädliche Nutzung dieses Endpunkts „in freier Wildbahn“ beobachtet: LameHug. Die Autoren der Malware nutzten denselben Endpunkt, um auf Hugging Face auf ein LLM-Modell zuzugreifen, spezifische Befehle anzufordern und auf dynamische Weise Code zu generieren, der beim Opfer ausgeführt wird (Abbildung 3).

Als Erstes ist uns bei der Analyse dieser Binärdatei aufgefallen, dass sie keines der genannten Felder verwendet. Stattdessen sendet sie eine Zeichenfolge, die anscheinend Base64-codiert ist (Abbildung 4).

Nach Entschlüsselung des Bodys und XOR-Verknüpfung mit 0xBB fanden wir die vermutlich erste zu Ausspähungszwecken im System des Opfers durchgeführte Anfrage.

Wir folgten dem Parsing-Prozess der Antwort und beobachteten, dass die Malware eine Antwort erwartet, die nicht mit dem ursprünglichen API-Schema übereinstimmt. Sie verarbeitet die empfangenen Daten, indem sie sie mit XOR und Base64 entschlüsselt, und folgt dann der in der Antwort bereitgestellten Anweisung (Abbildung 5).

Wir haben ältere Varianten dieser Malware identifiziert (Hash ist im IOC-Abschnitt dieses Beitrags zu finden). Sie hatten ähnliche Anweisungen und wiesen die gleichen hartcodierten Pfade für verschiedene Remote-Zugriffstools auf ($HunterInfo), aber der C2-Server war anders.

Wir haben auch eine RAR-Datei auf VirusTotal gefunden, die einen Bezug zum C2-Server hat. Die RAR-Datei enthält eine .lnk-Datei (个人简历.lnk, übersetzt in „Résumé“ oder „CV“), die ftp -s““:_/_/_/_/_/_/_ ausführt. Die RAR-Datei enthält auch .doc-Dateien innerhalb der verschachtelten Verzeichnisse, deren Inhalt jedoch binärer Code ist (siehe Abbildung 8).

Bei dieser Datei handelt es sich um „SangforPromote.exe“, eine von Sangfor Technologies verifizierte und signierte Datei. Wenn das Argument -InstallLsp und eine DLL angegeben werden, lädt die legitime Datei die DLL und setzt den Zeiger auf ihren Export. Dies geschieht mithilfe von LoadLibrary (Abbildung 10).

Die DLL mit dem Namen 360 weist Speicher mit Lese-, Schreib- und Ausführungsberechtigungen (RWX) zu, liest ‚sc‘ hinein und führt ihn dann aus.

Bei der Analyse von sc löst der geladene Code Funktionen mithilfe von LoadLibrary und GetProcAddress auf. Er verfügt über zwei hartcodierte Ziele, an die er HTTP-Anfragen sendet, die mit den C2-Adressen der analysierten Malware übereinstimmen:

1. https://1347790942-k1bok35vg3.ap-guangzhou.tencentscf[.]com

2. 39.97.57[.]244

Er entschlüsselt auch Daten mit Base64 und XOR wie bei den vorherigen Beispielen, wodurch eine Verbindung zwischen den Toolsets hergestellt wird. Wir glauben, dass durch diesen Ablauf die letzte RAT in das Dateisystem des Opfers heruntergeladen wird (Abbildung 11).

Akamai Hunt-Kunden profitieren von einer Rund-um-die-Uhr-Überwachung für solche Artefakte, denn sie ermöglicht Schutz vor derartigen Angriffen (Abbildung 12).

Mit der strategischen Entscheidung, Extraktion und C2 über den /v1/chat/completions-Endpunkt weiterzuleiten, machen Angreifer sich die Allgegenwärtigkeit und die schnelle Entwicklung von LLM-Services zunutze. Dieser Ansatz bietet einen hohen ROI, da er die vorhandene Cloud-Infrastruktur nutzt, um Kommunikationskanäle aufzubauen, die sich in den normalen Traffic des Unternehmens integrieren. 

Die Gefahr resultiert aus der Art und Weise, wie diese Technik drei in modernen Umgebungen vorherrschende Trends zusammenführt. In ihrer Kombination eröffnen sie Angreifern stabile, getarnte C2-Pfaden, die bei oberflächlicher Untersuchung gutartig erscheinen:

1. Gängiger, oft nicht überprüfter ausgehendes HTTPS-Traffic an Cloud-APIs

2. Wachsende Toleranz gegenüber maschinengeneriertem Traffic (KI-Agenten, Apps, Integrationen)

3. Einfache Verfügbarkeit von Cloud-Hosting, das zuverlässige, langlebige Endpunkte zur Verfügung stellt, die Angreifer nutzen können 

Tatsächlich lernen die Verteidiger in der täglichen Praxis, wie LLMs arbeiten und welche Bedrohungen sie mit sich bringen. Wenn der Traffic hinreichend legitim erscheint, ist die Wahrscheinlichkeit groß, dass er ohne angemessene Schutzmaßnahmen durchgelassen wird. Manchmal ist das offensichtlichste Versteck das beste. 

Wenn sich schädliche Payloads in Traffic verstecken, der für legitime LLM-Services bestimmt ist, klinken sie sich in ein zunehmend verbreitetes Netzwerkmuster ein. Dadurch verringert sich die Wahrscheinlichkeit, dass ihre Kommunikationsaktivitäten gekennzeichnet oder untersucht werden. Wenn Unternehmen KI-Tools und -Automatisierung einführen, wird Traffic zu LLM-Endpunkten zur Normalität, und in diesem Rauschen suchen Angreifer ihre Chance.