Human-Verified AI-Assisted Evidence Interpretation in Comparative Malware Analysis: WhiteSnake, Donex, and Emotet Samples
Questo articolo presenta un flusso di lavoro assistito dall'IA e verificato dall'uomo per l'interpretazione dell'analisi statica e dinamica di campioni di malware WhiteSnake, Donex ed Emotet all'interno di un ambiente isolato FLARE VM, utilizzando dati archiviati di progetti universitari per identificare indicatori comportamentali specifici, segnalando esplicitamente i limiti riguardanti l'esfiltrazione non confermata, la crittografia e la cattura stabile dei processi.
Articolo originale sotto licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo
Nel mondo digitale, il software malevolo opera come un intruso silenzioso, insinuandosi nei computer per rubare segreti, bloccare file o dirottare sistemi per ulteriori attacchi. Per fermare questi intrusi, gli esperti di sicurezza devono capire esattamente come funzionano. Ciò richiede un processo attento in due fasi: prima, esaminare il codice senza eseguirlo per vedere quali strumenti trasporta, e secondo, osservare cosa fa effettivamente quando viene consentito di girare in una stanza sicura e isolata. La sfida consiste nel distinguere tra ciò che un pezzo di software potrebbe essere in grado di fare in base al suo codice, e ciò che effettivamente ha fatto durante un test specifico. Se un esperto vede un grimaldello nella tasca di un sospetto, sa che il sospetto ha la capacità di scassinare, ma non può essere sicuro che sia avvenuta un'effettiva effrazione a meno che non veda la porta aperta. Questa distinzione è vitale per costruire difese accurate, eppure è spesso sfumata quando i rapporti mescolano le potenzialità con le azioni confermate.
Un ricercatore ha affrontato recentemente questo problema esaminando tre distinti pezzi di software malevolo: uno progettato per rubare password, uno inteso a criptare i file per un riscatto, e uno che agisce come loader per portare altri attacchi. Non ha creato nuovi esperimenti da zero; invece, ha rivisitato un progetto dettagliato completato da studenti universitari nel 2025. Il ricercatore ha trattato i log originali degli studenti, gli screenshot e i dati come un record storico da sottoporre ad audit. Il suo obiettivo era applicare un nuovo metodo di analisi che combinasse l'esperienza umana con l'intelligenza artificiale per smistare le prove. L'IA ha agito come un potente assistente, organizzando migliaia di punti dati e suggerendo possibili interpretazioni, ma non ha mai preso la decisione finale. Ogni conclusione è stata controllata e verificata da un analista umano per garantire che nessuna supposizione fosse scambiata per un fatto.
Il primo esemplare, noto come WhiteSnake, era un programma costruito con una tecnologia specifica che gli permetteva di girare su molti diversi sistemi informatici. Quando il ricercatore ha esaminato il suo codice, ha scoperto che era pesantemente camuffato, una tecnica chiamata offuscamento, che rende le istruzioni difficili da leggere. Più importante ancora, il codice conteneva una lunga lista di parole relative a macchine virtuali e ambienti sandbox, come "vmware" e "vbox". Ciò suggeriva che il programma fosse progettato per controllare se fosse in esecuzione in una stanza di test sicura e per fermarsi se rilevava una tale situazione. Quando il programma è stato eseguito nel laboratorio isolato, ha tentato di connettersi alla rete, nello specifico cercando una connessione a un servizio di messaggistica. Tuttavia, poiché il laboratorio era isolato dalla vera internet, la connessione è fallita. Il ricercatore poteva vedere il tentativo, ma non poteva confermare che il programma avesse effettivamente rubato password o inviato dati a un server remoto. Le prove mostravano l'intento di rubare, ma non l'atto del furto.
Il secondo esemplare, Donex, appariva come un programma ransomware, progettato per bloccare i file di un utente. Il suo codice conteneva riferimenti a potenti strumenti di cifratie e comandi che potevano spegnere un computer o cancellare i log di sistema. Questi erano chiari indicatori di ciò che il programma era costruito per fare. Tuttavia, quando il ricercatore lo ha eseguito, il disastro previsto non è accaduto. I file sul computer di test non sono stati criptati, non è apparso alcun messaggio di riscatto sullo schermo e il sistema non si è riavviato come il codice suggeriva potesse fare. Il programma mostrava segni di instabilità e ha prodotto alcuni rumori sulla rete locale, ma non è riuscito a svolgere la sua funzione primaria. Lo studio ha concluso che, sebbene Donex avesse gli strumenti per causare danni, non li aveva effettivamente utilizzati in questo specifico test. La presenza degli strumenti era reale, ma il danno non lo era.
Il terzo esemplare, Emotet, è arrivato in un pacchetto ingannevole: un file che sembrava un normale documento Word ma che aveva una seconda estensione nascosta per trarre in inganno l'utente. Una volta aperto, ha cercato di contattare un indirizzo specifico sulla rete. Nel laboratorio isolato, questo indirizzo risolveva in una macchina locale e il tentativo di connessione è fallito, restituendo un messaggio che la destinazione era irraggiungibile. Il programma si è mosso così velocemente che gli strumenti di monitoraggio non sono riusciti a catturare un record stabile della sua attività. È possibile che il programma si sia iniettato in un altro processo o che abbia semplicemente terminato il suo compito prima che le telecamere potessero focalizzarsi, ma il ricercatore non poteva provarlo. Poteva solo confermare che il programma avesse cercato di connettersi ed era fallito a causa delle condizioni del laboratorio.
Una parte fondamentale di questo studio è stata il modo in cui il ricercatore ha gestito l'intelligenza artificiale. Ha utilizzato l'IA per organizzare i dati disordinati dei tre test e per proporre possibili spiegazioni per ciò che vedeva. L'IA ha suggerito che i comportamenti corrispondessero a tattiche note utilizzate dai criminali informatici. Tuttavia, il team umano ha revisionato ogni singola suggestione. Hanno respinto l'idea che i programmi avessero rubato con successo i dati o criptato i file perché mancava l'evidenza diretta. Hanno anche respinto l'idea che i programmi avessero eluso con successo il rilevamento, anche se il codice suggeriva che ci avessero provato. L'IA ha fornito una lista di possibilità, ma gli analisti umani hanno fornito la verità basata su ciò che era effettivamente registrato.
Il risultato finale di questo lavoro è una mappa chiara e cauta di ciò che è accaduto. Il ricercatore ha scoperto che questi tre programmi possedevano le capacità di rubare dati, criptare file e nascondere le proprie tracce. Eppure, nelle specifiche condizioni di questo test, nessuno di essi ha completato con successo la propria missione principale. Lo studio sottolinea che vedere una capacità nel codice non è la stessa cosa che vedere l'azione nel mondo reale. Separando ciò che è stato osservato da ciò che è stato solo suggerito, il team ha creato un quadro più affidabile della minaccia. Questo approccio assicura che le difese di sicurezza siano costruite su fatti confermati piuttosto che su supposizioni, evitando di sovrastimare il pericolo pur riconoscendo il potenziale di danno. Il lavoro serve da promemoria che, nella lotta contro le minacce digitali, la pazienza e la verifica sono importanti quanto gli strumenti usati per trovare il nemico.
Sommerso dagli articoli nel tuo campo?
Ricevi digest giornalieri degli articoli più recenti corrispondenti alle tue parole chiave di ricerca — con riassunti tecnici, nella tua lingua.