Ha ma valaki elmegy egy kiberbiztonsági konferenciára / kiállításra, három kifejezést egészen biztosan hallani fog a különféle kiberbiztonsági megoldások kapcsán: AI, machine learning, next-gen. Természetesen mind nagyon jól hangzó marketing szövegek, de ennél sokkal inkább számít a belbecs. Nos, néha becsúszik a porszem a gépezetbe.
A Cylance megoldása nem a szignatúrákon, sandboxon, heurisztikán, viselkedéselemzésen alapszik, hanem AI elemzi és adott esetben állítja meg a fenyegetéseket. Állítólag 2014-ben ők fedezték fel az iráni kormányzat által, több célpont ellen indított kibertámadásokat, noha Irán mindent tagadott. 2019-ben aztán a céget felvásárolta a BlackBerry.
Az AI alapú védekezés a felhasználó szempontjából sok előnnyel jár: nem foglal sok helyet, egy néhány MB-os agent elkommunikálgat a felhőben ülő AI-jal, nem fogyaszt sok memóriát és CPU-t. Persze a másik oldalon ott van a szokásos privacy kérdés - mindenkinek magának kell eldöntenie, melyik fontosabb számára. Az AI alapú elemzés nagy odafigyelést kíván az üzemeltető oldalán. Valamilyen módon azonosítani kell, mi az, amit az AI "lát", ártalmas-e, vagy sem. Ez körülbelül ugyanúgy működik, ahogyan mi, emberek megkülönböztetjük egymástól a dolgokat: egyszerre vizsgálunk számtalan jellemzőt, amiből aztán osztályozzuk azokat. Ebből természetesen következik, hogy az AI-t meg kell tanítani a különböző dolgok felismerésére: ártó, vagy ártalmatlan a tevékenység, amit vizsgál. Ha az AI jól tanított, képes felismerni a még sosem látott fenyegetéseket; ha egyszer megtanult valamit, arra többet nem kell megtanítani; alacsony a végfelhasználói erőforrás-igénye.
Nos, egy AI védelem tesztelését leginkább egy farsangi bálhoz lehetne hasonlítani: álruhába kell öltöztetni a fenyegetéseket. Nos, a Skylight ezt tette a Cylance védelmi megoldásával szemben. De miért éppen a Cylance-et választották célpontul? A Skylight elmondása szerint ez volt a legkönnyebben elérhető platform és nagy mértékben támaszkodik az AI-ra a detektálás során.
A tesztelés során a Skylight bekapcsolta a kiterjesztett logolást a platformon, értékes információkat szerezve a megoldás működéséről. Amikor egy egyetlen byte-ban megváltoztatott Mimikatz bináris ellen vetették be a felismerést, az azonnal -852 pontra értékelte az állományt (-1000 a legrosszabb, +1000 a legjobb). A Skylight kutatásai során kiderült, hogy a besorolás a vizsgált állományok több ezer jellemzője alapján történik. Minden vizsgálat több rétegen megy keresztül, az előzetes pontozás után a file-ról előállított információkat a Cylance platform összehasonlítja fehér- és feketelistákkal.
A fenti tudással felvértezve a Skylight először olyan malware-t akart létrehozni, amelynek a tulajdonságai nagy mértékben hasonlítanak a fehérlistás állományokéra, de ezt elvetették, mert a vizsgált tulajdonságok némelyikét nagyon nehéz megváltoztatni. A második ötletük az volt, hogy megpróbálnak elfogultságot találni a motorban, azaz a tulajdonságok egy kis részét olyan irányban megváltoztatni, amelynek a végeredménye becsapja az AI-t. A reverse engineering során a Skylight talált egy kódrészletet, amely végigfut a vizsgált állományban található stringeken, hash-t képez belőlük, majd ezeket összehasonlítja egy adatbázissal. Minden egyes találat módosítja a végső eredményt a besorolást illetően. Stringeket könnyű megváltoztatni bármilyen állományban, a bináris részek - amelyek a vizsgált tulajdonságok más részét adják - viszont sokkal nehezebb falatok. További elemzések képesek voltak körvonalazni, mely stringek terelik el a motor figyelmét annyira, hogy egy ártalmas állomány ártalmatlan besorolást kapjon. Ezek alapján a Skylight rábukkant egy online játék indítóállományára, amely a fehérlistán szerepelt. Ebből kicsomagolták a stringeket (kb. 5 MB), majd hozzáadták a Mimikatz binárishoz és lefuttatták rajta az ellenőrzést. +999 pont. Emlékeztetőül: a korábbi Mimikatz bináris -852-őt kapott.
Természetesen egy teszt nem teszt, így a Skylight tovább vizsgálódott. Több különböző, széles körben ismert malware-rel is kipróbálták a módszert és a védelmi mechanizmus minden esetben erős negatívról erős pozitívra változtatta a besorolást.
A detektálási modell további vizsgálata során a változást előidéző stringek méretét lecsökkentették 60 KB-ra, de az átverés így is működőképes maradt azzal a megjegyzéssel, hogy néhány esetben a motor ugyan ártalmasnak ítélte a kódot, de sokkal jobb végeredményt állított ki róla, mint a módosítatlan állományról. A Center for Internet Security májusi top 10-es malware listáján szereplő programok mindegyike átment a motor tesztjén egy igen nagyméretű pontváltozással. A végső teszt során 324 malware-t teszteltek az alábbi eredménnyel:
átlagos pontszám a teszt előtt: -920
átlagos pontszám a teszt után: +630
átverési arány: 83.6%
Mindez a módosítás egyszeri elvégzése után. Ha többször is végrehajtották azt, akkor az átlagos pontszám +750-re nőtt, az átverési arány pedig 88.5%-ra.
A Skylight természetesen értesítette a részletekről a Cylance-t, noha nem előzetesen, hanem a publikációjukkal egyetemben. Elmondásuk szerint a feltárt információk nem kliensoldali sebezhetőségek, hanem logikaiak a felhőoldali AI-ban. A Cylance változást ígért (azóta már szállította is) a detektáló mechanizmusban, noha elmondásuk szerint a fenti átverés csak limitáltan működőképes, semmiképpen sem tekinthető univerzális megoldásnak. A Skylight véleménye az, hogy a jelenlegi állapotokat tekintve sem az egyszerű kliensoldali, sem a tisztán AI általi védelem nem elégséges, utóbbi mögé még mindenféleképpen kell egy szignatúra-azonosításos, heurisztikus megoldás.
A Skylight publikációja véleményem szerint nem tekinthető felelős nyilvánosságra hozatalnak, mert az azonnali publikációval veszélybe sodorták a Cylance ügyfeleit, a cégnek pedig nem adtak időt a változtatások elvégzésére, hanem nyomás alá helyezték őket - ami újabb hibákat szülhet.
Az eredeti írás 2019. július 27-én jelent meg.
CoreSec