Açıklar ve Tehditler
Araştırmacılar karmaşık yazılımı ve Turla kötü amaçlı yazılımını paketini açtı, haritaladı ve yeniden oluşturdu, savunma yapanlar için yeni endişeler yarattı.
Nate Nelson, Katkıda Bulunan Yazar
Ana akım yazılım ve kötü amaçlı yazılım, Yapay zeka araçları sayesinde her zamankinden daha kolay tersine mühendisliğe tabi tutulabiliyor. Siber güvenlik araştırmacıları bu durumun siber savunma, fikri mülkiyet hırsızlığı ve ötesi için etkileri olduğuna dair uyarıda bulunuyor.
Ev tipi uygulamalar tipik olarak yüz binlerce, hatta milyonlarca satır koddur. Yüzlerce üçüncü taraf kütüphane, çok sayıda dosya ve karmaşık birbirine bağlı bileşen ağları içerir. Bütün bunların paketini açıp haritalamak, yapay zekadan önce çok zor bir görevdi, şimdi ise küçük ekipler ve bireyler için bile ulaşılabilir.
Siber güvenlik araştırmacıları Intezer, yapay zekayla yazılımı tersine mühendisliğe tabi tutmanın ne kadar kolay olduğunu test etmek için Slack, Apple'ın Finder uygulaması ve güvenlik araştırmacıları için önemli olan Turla kötü amaçlı yazılımı gibi yüksek profilli adayları seçti. İronik olarak kötü amaçlı yazılım en zorlu olanı çıktı. Apple ve Salesforce'un tescilli uygulamalarını baştan sona anlamlı şekilde yeniden oluşturmanın yalnızca orta derecede zor olduğunu buldular.
"Eşiği düşürüyor," dedi Intezer kıdemli güvenlik araştırmacısı ve kötü amaçlı yazılım analisti Nicole Fishbein yapay zekadan söz ederken. "Geçmişte bir yazılımı tersine mühendisliğe tabi tutmak için deneyim gerekiyordu. Assembly'yi anlamanız gerekiyordu ve çok zaman alıyordu. Şimdi, herkesin yapabileceğini söylemek istemiyorum ama çok daha kolay."
Evde Tersine Mühendislik Nasıl Yapılır
Siber güvenlikte yapay zekayı başka bir büyük göreve uyguladığınızda olduğu gibi, büyük bir programı düzgün şekilde tersine mühendisliğe tabi tutmak için bir "harness"a ihtiyaç var. Harness, bir modeli veya modelleri belirli bir göreve odaklayan, görevi yerine getirmek için ihtiyaç duyduğu araçları sağlayan ve çeşitli izin ve kısıtlamalarını tanımlayan küçük bir mekan takım elbisesi gibidir.
Fishbein, hedefi ne olursa olsun hatırlıyor, "Her durum için farklı bir harness inşa etmemiz gerekti, çünkü programlar çok farklı. Örneğin bir durumda Claude'dan kaynak kodu yeniden oluşturmasını istemeniz yeterli olabilir, başka bir durumda Claude reddeder. Ya da kötü amaçlı yazılımda hiçbir şeyi çalıştırmadan çok güvenli olmak istediğimde, ekstra bir modelle daha karmaşık bir harness kullandık."
Kötü amaçlı yazılım yeniden oluşturma harness'ı, derleyici etrafına sarılmış deterministik bir Python kontrol düzleminden, bir sanal makineden, çeşitli statik analiz araçlarından ve birden fazla büyük dil modelinden oluştu. "Bu bütün şeyi kontrol eden ve görevleri farklı alt ajanlara gönderen bir Orchestrator ajanımız var. Bütün ikili dosyayı Binary Ninja gibi araçların sağladığı bilgilere dayanarak daha küçük fonksiyonlara ayırıyor. Buradan bir ajan tarafından yapılan yeniden oluşturma süreci başlıyor ve başka bir ajan sonuçları test ediyor," diye açıklıyor.
Sonunda Fishbein ve meslektaşı, komutları nasıl aldığı ve yürüttüğü, dosya aktarım mekanizmaları, kısaca her şeyi içeren çalışan bir Turla replikası oluşturdu. Çok sıkı son teslim tarihleri olmayan kötü amaçlı yazılım araştırmacıları için diyor ki, "Bütün resmi yeniden oluşturabilir ve hiçbir kilit bileşeni kaçırmazsanız, bu size çok fazla bilgi verir."
Slack ve Apple Finder'ın Yeniden Oluşturulması
Fishbein, "Bu araştırmaya başladığımda aklımdan geçen şeylerden biri, insanların diğer çok yaygın uygulamaları taklit eden uygulamalar vibe kodlamasıydı. Kaynak materyali neredeyse birebir taklit etmenin ne kadar mümkün olduğunu merak ediyordum" diye belirtiyor. Oldukça zor olmadı, ancak sonuçlar değişti.
Araştırmacıların Finder simülakrumu, gerçek uygulama gibi çeşitli dosya işlemleri, yerel arama vb. pek çok günlük kullanımı destekleyebiliyordu, ancak orijinal, iç yapısını tam olarak taklit etmelerine izin verecek kadar bilgi vermiyordu.
Slack daha kolay gitti. Finder bulut hizmetleri tarafından yönetilen dosyalara ve sonuçları diğer macOS hizmetlerine bağlı eylemlere dayanıyordu, Slack ise araştırmacıların JavaScript kaynak kodunu tersine mühendisliğe tabi tutarak kolayca paketini açabileceği pek az şey sunuyordu. "Çok basit" bir şekilde tam istemciyi yeniden ürettiklerini yazdılar, ancak sunucusunu tam olarak yeniden oluşturmakta zorlandılar, bununla ilgili bilgiler o kadar kolay elde edilemiyordu. Ayrıca, Salesforce'un tescilli kodunu çalmaya ya da güvenlik açıkları için parçalamaya ilgi duyan gerçek hayattaki bir saldırganın altyapı tarafına pek önem vermemesi de mümkün.
Hackerlar ve İşletmeler için Etkiler
10 Eylül'de Anthropic, modellerinin tehdit aktörleri tarafından nasıl kötüye kullanıldığını anlatan bir rapor yayınladı. Diğer vakaların yanı sıra, öncelikle Ukrayna'nın hükümetini, askeri ve diplomatik personelini hedef alan Rus tehdit aktörü Midnight Blizzard'dan önemli faaliyetler olduğunu anlattı. Ukrayna'daki kampanyasının bir parçası olarak Midnight Blizzard, bir drone görüş sistemi için eksiksiz, tescilli bir yazılım geliştirme kiti çalmıştı. "Birkaç gün" süren bir dönemde Claude'un yardımıyla gelişmiş kalıcı tehdit, onu tersine mühendisliğe tabi tuttu. Hedef elbette şaşırtıcı değildi, çünkü dronlar Rusya-Ukrayna savaşı için büyük katkı sağladı.
Aynı raporda Anthropic, hedefleri arasında kötü amaçlı yazılım geliştirme, yabancı hükümetlerin ağlarına karşı keşif, büyük uç nokta güvenlik ürünlerinde güvenlik açığı keşfi ve daha fazlası bulunan Çin kampanyasını anlattı. Bu kadar çok iş akışını aynı anda yönetmek için aktörler Claude'u farklı iş akışlarında çalıştırdı, bunlardan biri güvenlik ürünlerini hatalar açısından tersine mühendisliğe tabi tutmayı içeriyordu.
Ulusa devletlerin yanı sıra Fishbein, tehdit aktörü hiyerarşisinde daha aşağıda tersine mühendisliğe dair kanıtlara işaret ediyor. "Birdenbire açık kaynak haline gelecek çok sayıda kötü amaçlı yazılım görüyoruz. Tehdit aktörlerinin iyi çalıştığını gördüğü kötü amaçlı yazımı alıp ya kaynak kodunu sızdırmaya ya da yeniden oluşturup herkese açık kaynak yapmaya eğilim var," diyor.
Ve elbette yapay zeka, tersine mühendisliği düzgün kitlelere ulaştırıyor. Geçen ay, "REA" kısaltması "Reverse Engineer Anything" olan açık kaynaklı bir araç ve Model Context Protocol sunucusu GitHub'da listelenen tek en popüler program haline geldi.
Tersine mühendislik artık her zamankinden çok daha hızlı ve daha fazla insan için ulaşılabilir hale geldiğinden, satıcılar fikri mülkiyetleriyle daha fazla dikkatli davranmak zorunda kalabilir. İlk adım, savunma önlemlerine karar vermeden önce önlemek istedikleri sonuçları tanımlamak olabilir. Örneğin, tersine mühendisler Slack istemcisini doğrudan yeniden üretebilir, ancak bu durumda bile uygulama mimarisinin tamamını yeniden oluşturamayacaklar. "Şu anda araştırma, sunucu tarafı altyapınızı müşteriye maruz bırakmadıysanız korunduğunuzu gösteriyor," diye not ediyor Fishbein.
Kaynak kodlarını korumak için geliştiriciler ironik olarak hackerların defterinden sayfalar alabilir. Kötü amaçlı yazılım geliştiricileri ve tarihsel olarak temkinli şirketler, tersine mühendislikleriyle ilgilenen siber güvenlik savunucularını rahatsız etmede etkili şifreleme, obfuscation — belki yapay zekanın yardımıyla bile — ve diğer anti-analiz önlemlerinin etkinliğini uzun süredir kanıtlıyor.
"Bir süredir var olan şifreleyiciler veya farklı anti-hile mekanizmaları da yardımcı olur," diyor Fishbein, "ama her ay daha iyi hale gelen her yeni modelle ne kadar süreceklerini söylemek zor."
Nate Nelson gazeteci ve ödüllü senaristtir. Dark Reading'in yanı sıra siber güvenlikte tüm medyada en popüler şov olan Darknet Diaries için yazıyor.
Kariyerine serbest yazar olarak başladı, teknoloji ve finans yöneticileri için Forbes ve CNBC köşe yazılarını hayalet yazdı. Sonra Threatpost'ta gazeteciliğe geçti, burada siber güvenlik haberlerini ve trendlerini ele aldı. O yıllarda Malicious Life adlı bir siber güvenlik podcast'inin ortak yaratıcısı oldu, bu podcast gününde Apple Podcasts ve Spotify'da ilk 20 teknoloji podcast'i listelerine girdi.
New York Üniversitesi ve Bard College'dan dereceleri var. Doğma büyüme bir New Yorklu olarak üstünlük kompleksinin tadını çıkarıyor, ama kibar olduğu kadar onu kendine saklıyor.
