• Akamai Hunt ha identificato una nuova variante di malware che tenta di nascondersi dietro un endpoint di un'API di un modello LLM legittimo. 

• Il malware invia una stringa che sembra essere scritta con codifica Base64 per stabilire una connessione C2 (Command and Control), invece di utilizzare uno schema comune.

• Lo sfruttamento di questa vulnerabilità potrebbe portare ad un attacco per il controllo e l'esfiltrazione dei dati da parte dei criminali. 

• Questo è un altro esempio di come i criminali stanno evolvendo rapidamente le loro metodologie di attacco, il che rafforza la necessità per le organizzazioni di prepararsi per affrontare queste minacce moderne.

Il panorama delle minacce si sta evolvendo ad una velocità straordinaria e i criminali sono veloci ad adattarsi a questo ritmo. Man mano che i modelli linguistici di grandi dimensioni (LLM) vengono ampiamente utilizzati all'interno delle organizzazioni, il loro schema di comunicazione può consentire ai criminali di nascondere il loro traffico dannoso sotto gli occhi di tutti.

Proprio come gli addetti alla sicurezza si affrettano ad integrare l'intelligenza artificiale nelle pipeline di rilevamento, utilizzando i modelli LLM per analizzare gli avvisi, riepilogarli e correlare gli indicatori, anche gli autori di malware stanno sperimentando l'uso dell'intelligenza artificiale. Abbiamo già osservato alcuni esempi iniziali di malware come LameHug e PromptLock, che mostrano come i modelli LLM progettati per generare testo possano essere usati per scopi dannosi.

Abbiamo anche visto un esempio di come i criminali utilizzano l'API di OpenAI per un'infrastruttura C2 (Command and Control) nel backdoor SesameOp, il che evidenzia la nuova superficie di attacco nel mondo dell'intelligenza artificiale.

Recentemente, il team Akamai Hunt ha scoperto un nuovo malware che utilizza un nuovo approccio all'abuso dei modelli LLM, unendo il traffico dannoso alle richieste di API LLM. In questo post del blog, il team Hunt condivide un esempio della minaccia emergente che ha scoperto nell'ambito della fornitura di servizi ai clienti di Hunt.

Durante la nostra ricerca di nuovi metodi di utilizzo dei modelli LLM nel malware, un file si è aperto e ha attirato la nostra attenzione perché già contrassegnato come dannoso su VirusTotal e associato a diverse regole Yara. Dopo aver iniziato ad indagare, ci aspettavamo di vedere un altro modello di creazione e di esecuzione di codice tramite i modelli LLM sulla vittima presa di mira.

Il malware tenta per la prima volta di connettersi all'indirizzo IP 39.97.57[.]244 utilizzando un socket, ma, una volta che si verifica un errore, torna a un HTTP C2, ossia 1347790942-k1bok35vg3.ap-guangzhou.tencentscf[.]com/v1/chat/completions.

Dopo aver osservato la prima richiesta HTTP effettuata all'API, siamo rimasti sorpresi di vedere che non ha seguito le intestazioni necessarie per questo tipo di richiesta.

La nostra ricerca si è incentrata, in parte, sui modi di utilizzo degli endpoint delle API basati sui modelli LLM e, in particolare, /v1/chat/completions.

Dalla documentazione di OpenAI, questo endpoint "crea una risposta del modello per la chat specifica" (Figura 1 e Figura 2).

L'endpoint /v1/chat/completions è stato introdotto da OpenAI e rapidamente emulato da più provider e gateway che offrono API compatibili con OpenAI (ad esempio, OpenRouter e Hugging Face).

Tuttavia, le API ufficiali di altri fornitori possono utilizzare diversi endpoint nativi o possono variare in termini di parametri, autenticazione e comportamento dello streaming nonostante uno schema di richiesta simile.

In genere, quando si utilizza questa API, è necessario aggiungere i seguenti parametri richiesti:

• Autorizzazione: un'intestazione del token di trasmissione sotto forma di "Authorization: Bearer YOUR_API_KEY" è necessaria per autenticare la richiesta

• Modello: un identificatore di stringa che seleziona un modello abilitato per la chat (ad esempio, gpt-3.5-turbo o Llama-4-Maverick-17B-128E-Instruct-FP8) a cui l'endpoint indirizzerà la richiesta

• Messaggi: una serie di oggetti di messaggi con tag di ruolo (contenenti ruolo e contenuto) che rappresentano la cronologia delle conversazioni utilizzati dal modello per generare la risposta successiva

Come menzionato in precedenza, abbiamo già visto un uso dannoso e reale di questo endpoint in rete, ossia LameHug. Gli autori del malware hanno utilizzato lo stesso endpoint per accedere ad un modello LLM su Hugging Face, chiedendo comandi specifici e generando dinamicamente il codice da eseguire sulla vittima presa di mira (Figura 3).

La prima cosa che abbiamo notato durante l'analisi di questo file binario è il fatto che non utilizza nessuno dei campi menzionati, ma, al contrario, invia una stringa che sembra essere scritta con codifica Base64 (Figura 4).

Dopo aver decodificato il corpo e XORing con 0xBB, abbiamo scoperto cosa sembra la prima richiesta di ricognizione eseguita sulla vittima presa di mira.

Abbiamo seguito il processo di analisi della risposta, osservando che il malware si aspetta una risposta che non corrisponde allo schema dell'API originale, ma elabora i dati ricevuti decrittografandoli tramite XOR e Base64, quindi segue le istruzioni fornite nella risposta (Figura 5).

Abbiamo identificato le versioni precedenti di questo malware (l'hash si trova nella sezione IoC di questo post), che presentavano istruzioni simili e disponevano degli stessi percorsi codificati di diversi strumenti di accesso remoto ($HunterInfo), ma il server C2 era diverso.

Abbiamo anche trovato un file RAR su VirusTotal, che è correlato al server C2. Questo file RAR include un file .lnk (个人简历.lnk, tradotto, significa "curriculum" o "CV"), che esegue ftp -s””:_/_/_/_/_/_/_/_/_. Il file RAR include anche alcuni file .doc all'interno delle directory annidate, sebbene il loro contenuto sia un codice binario (Figura 8).

Questo file è, in realtà, SangforPromote.exe, un file verificato e firmato di Sangfor Technologies. Quando riceve l'argomento -InstallLsp e una DLL, il file legittimo carica la DLL e imposta il puntatore sulla relativa esportazione utilizzando LoadLibrary (Figura 10).

La DLL, denominata 360, alloca la memoria con autorizzazioni di lettura, scrittura ed esecuzione (RWX), legge "sc" al suo interno e, infine, viene eseguita.

Analizzando sc, il codice caricato risolve le funzioni utilizzando LoadLibrary e GetProcAddress. Poiché dispone di due destinazioni con codice hardware, invia le richieste HTTP, che corrispondono agli indirizzi C2 del malware da noi analizzato:

1. https://1347790942-k1bok35vg3.ap-guangzhou.tencentscf[.]com

2. 39.97.57[.]244

Inoltre, decodifica i dati con Base64 e XOR proprio come negli esempi precedenti, creando una connessione tra i set di strumenti. Riteniamo che questo flusso scarichi il file RAT finale nel file system della vittima (Figura 11).

I clienti di Akamai Hunt possono trarre vantaggio dal monitoraggio continuo 24/7 di questi componenti per consentire la protezione da tali attacchi (Figura 12).

La decisione strategica dei criminali di instradare gli attacchi di esfiltrazione e C2 tramite l'endpoint /v1/chat/completions sfrutta sia l'ubiquità che la rapida evoluzione dei servizi LLM. Questo approccio offre un elevato ROI potenziale, poiché sfrutta l'infrastruttura cloud esistente per creare canali di comunicazione che si integrano con il normale traffico aziendale. 

Il pericolo deriva dal modo con cui questa tecnica allinea tre tendenze prevalenti negli ambienti moderni, che, insieme, possono garantire ai criminali percorsi per sferrare attacchi C2 coerenti e nascosti che sembrano legittimi ad un'ispezione superficiale:

1. Traffico HTTPS diffuso e, spesso, non ispezionato, in uscita verso le API nel cloud

2. Crescente tolleranza per il traffico generato dai computer (agenti basati sull'AI, app, integrazioni)

3. Facile disponibilità dell'hosting su cloud che fornisce endpoint affidabili e di lunga durata che i criminali possono utilizzare 

La realtà è che gli addetti alla sicurezza stanno imparando sul campo come funzionano i modelli LLM e quali minacce attirano. Se il traffico sembra sufficientemente legittimo, esiste la possibilità che venga fatto passare senza adeguate protezioni in atto. A volte, nascondersi sotto gli occhi di tutti è il modo più semplice per passare inosservati. 

Nascondendo i payload dannosi all'interno del traffico destinato ai servizi LLM legittimi, i criminali penetrano in un modello di rete sempre più comune, riducendo così la possibilità che le comunicazioni vengano segnalate o analizzate. Man mano che le organizzazioni adottano strumenti di intelligenza artificiale e automazione, il traffico diretto verso gli endpoint dei modelli LLM sta diventando normale e, all'interno di questo frastuono, i criminali possono trovare opportunità allettanti.