AI ช่วยให้แรนซัมแวร์สามารถหลบเลี่ยงการตรวจจับของ EDR ได้ดีขึ้น

ผู้เชี่ยวชาญเตือน การมาของ AI ช่วยให้แรนซัมแวร์สามารถหลบเลี่ยงการตรวจจับของ EDR ได้พลิ้วขึ้น

จากรายงานโดยเว็บไซต์ SCWorld ได้กล่าวถึงการที่ทางทีมวิจัยจาก Sophos บริษัทผู้พัฒนาเครื่องมือป้องกันภัยไซเบอร์ในระดับองค์กร ทำการตรวจพบชุดอุปกรณ์ (Toolkit) ของแรนซัมแวร์ที่ถูกพัฒนาขึ้นด้วย AI (AI-Powered Malware) ที่มีความสามารถในการหลบเลี่ยงระบบตรวจจับที่หลากหลาย ซึ่งมีตั้งแต่ความสามารถในการตรวจหา Active Directory (ระบบจัดการฐานข้อมูลและผู้ใช้งานในองค์กร) และหลบเลี่ยงการตรวจจับโดยเครื่องมือรักษาความปลอดภัยอุปกรณ์ปลายทาง (EDR หรือ Endpoint Detection and Response) โดยสามารถฝ่าเครื่องมือ EDR ได้จากหลากหลายผู้พัฒนา ไม่ว่าจะเป็น Sophos, CrowdStrike, และ Microsoft ซึ่งทั้งหมดนั้นมาจากการที่ในขั้นตอนการพัฒนานั้นได้มีการนำเอาเครื่องมือผู้ช่วยอัจฉริยะแบบ AI (AI Agents) เช่น Cursor และ Claude Opus เข้ามาใช้งานตั้งแต่ในขั้นตอนการเขียนโค้ดขั้นต้น, การวิเคราะห์, การปรับปรุงประสิทธิภาพการทำงาน

ทั้งยังมีการมอบหมายให้เครื่องมือ AI บางตัวค้นคว้าหาหลากวิธีการเล็ดลอด (Bypass) การตรวจจับโดยเครื่องมือรักษาความปลอดภัยไซเบอร์อีกด้วย เช่น การค้นคว้าเอกสารที่เกี่ยวข้อง, การเชื่อมโยง (Mapping) ตัวมัลแวร์กับเฟรมเวิร์ก MITRE ATT&CK, การทดสอบใช้งานมัลแวร์กับเครื่องมือ EDR ต่าง ๆ นำมาสู่ประสิทธิภาพการหลบเลี่ยงการถูกตรวจจับที่น่าทึ่งดังกล่าว

นอกจากนั้นทางทีมวิจัยยังตรวจพบความสามารถอีกมากมายภายในชุดเครื่องมือ AI นี้ เช่น ฟีเจอร์โปรไฟล์ Cobalt Strike ที่ใช้ในการนำเอามาทำเป็น Traffic Beacon (เครื่องมือจัดระเบียบการจราจรของข้อมูล), กุญแจ (Key) API ของ Telegram ในการติดต่อกับเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and Control) ที่เป็นบอทบนบริการแชทชื่อดัง Telegram, สคริปท์ Python ที่ใช้ในการยิง ShellCode (ShellCode Injection) เพื่อให้ตัวมัลแวร์เนียนไปกับ Process อื่น ๆ ของ Windows, และ Cloudflare Worker สำหรับใช้ในการพรางการติดต่อกับเซิร์ฟเวอร์ C2 ซึ่งถึงแม้ตัวชุดเครื่องมือและมัลแวร์เองนั้นจะถูกพัฒนาโดย AI แต่ทางทีมวิจัยก็ยืนยันว่าในขั้นตอนการปฏิบัติงานนั้นจะอาศัยผู้ปฏิบัติงานที่เป็นคนเสียเป็นส่วนใหญ่