İçindekiler Tablosu
Google Tehdit İstihbarat Grubu, LLM tabanlı zararlı yazılımların çalışma anında kod üretebildiğini gösterdi. UNC1069 ve PROMPTFLUX gibi aktörler ilgi çekici bir tehdit manzarası sunuyor; savunmalar güçlendiriliyor.
Google’ın Tehdit İstihbarat Grubu’nun bu hafta yayımladığı rapor, siber tehdit dünyasında yapay zeka modellerinin zararlı yazılımlar tarafından çalışma zamanı üzerinde kullanıldığını ortaya koyuyor. LLM tabanlı yaklaşımların, geleneksel zararlı yazılımlardan farklı olarak dinamik olarak kod üretmesini ve kendi kendini değiştirerek tespit edilmesini zorlaştırdığını vurguluyor. Rapor, PROMPTFLUX ve PROMPTSTEAL gibi yeni varyantları ve Kuzey Kore kökenli UNC1069 (Masan) gibi aktörleri öne çıkarıyor. Gemini ve Qwen2.5-Coder gibi modellerin zararlı işlemlerde nasıl kullanıldığını açıklarken, güvenlik savunmalarının da güncellenmesi gerektiğini işaret ediyor. Bu bulgular, model erişimini izleme ve API kullanımını sıkılaştırma gibi adımların önemini bir kez daha gösteriyor. Raporun teknik özetine aşağıdaki bağlantı üzerinden ulaşılabilir
Rapor hakkında daha fazla teknik ayrıntı için raporun teknik özeti incelenebilir. Bu bölümde, saldırganların LLM’leri çalıştırırken hangi hedefleri seçtiği ve hangi araçları kullandığına dair genel bir çerçeve sunuluyor.
LLM ile Kod Üretimi: Just-In-Time Yaklaşımı
GTIG tarafından açıklanan kavram, zararlı yazılımların kendi başlarına kod üretmesini sağlayan bir yaklaşımı ifade ediyor. Geleneksel yazılımların içsel mekaniğinin sıkı bir şekilde sabitlendiği döneme göre bu yöntem, dış bir yapay zeka modelinden gerçek zamanlı destek alarak işlevleri oluşturuyor veya değiştiriyor. PROMPTFLUX, her saat Gemini API’sini çağırarak VBScript kodunu yeniden yazarken kendini güçlendiriyor. PROMPTSTEAL ise Qwen2.5-Coder’ı kullanarak Windows komutları türetiyor ve hedeflenen sistemlerde daha etkili erişim elde etmeyi amaçlıyor. UNC1069’un Gemini üzerinden dizinler ve veritabanı depolama çözümlerine karşı yönlendirmeler yazdığı belirtiliyor; bu da kripto varlıkların depolandığı alanlara yönelik özel saldırılar anlamına geliyor.
Kuzey Kore kökenli UNC1069 ve DPRK Bağlantıları
Rapor, UNC1069’un Kuzey Kore kökenli olduğunu ve kripto hırsı kampanyalarında sosyal mühendisliği kullanarak zararlı eylemleri desteklediğini ifade ediyor. Grup, Gemini üzerinde komutlar oluşturarak veya mevcut verileri hedefleyerek çok dilli phishing içerikleri üretme kapasitesine sahip görünüyor. Masan olarak da bilinen bu aktörün, wallet verilerine erişimin yolunu aradığına dair işaretler raporda öne çıkıyor. APT28 gibi diğer aktörlerle paralel hareket eden bu gruplar, tehdit taktiklerinde benzersiz yönler sergiliyor ve güvenlik ekiplerini daha dikkatli olmaya çağırıyor.
PROMPTFLUX ve PROMPTSTEAL: Kod Üretim Aşamaları
PROMPTFLUX, çalışma süresi boyunca modelden gelen çıktıyı kullanarak kendi yazılım bileşenlerini yeniden üretiyor ve böylece tespit edilmesini zorlaştırıyor. PROMPTSTEAL ise Qwen2.5-Coder ile Windows komutlarını üretip hedef makinelerde hızlı bir şekilde gezinmeyi ve yetki yükseltmeyi hedefliyor. Bu iki yaklaşım, yazılım zincirine dışarıdan katman ekleyerek zararlı işlemlerin esnekliğini artırıyor ve savunmalar için yeni bir tehdit yüzeyi yaratıyor. GTIG’nin teknik brief’i, bu tür dinamik kod üretiminin tespit ve analiz süreçlerinde karşılaşılan zorlukları da net bir şekilde gösteriyor.
Savunma Stratejileri ve Google’ın Adımları
Rapor, model kullanımını sınırlamak amacıyla geliştirilen filtreler, sıkı denetimler ve API erişiminin yakından izlenmesi gibi savunma tedbirlerini öne çıkarıyor. Google, bu olaylar sonucunda ilgili hesapları kapatmış ve manipülasyonu azaltmaya yönelik ek güvenlik kontrolleri devreye almıştır. Şirketler için önerilenler arasında, LLM tabanlı araçların kullanıldığı yazılım geliştirme süreçlerinde güvenlik politikalarının güçlendirilmesi, modele yönelik erişim denetimlerinin sıkılaştırılması ve tehdit avı zekâsının düzenli olarak güncellenmesi yer alıyor. Bu adımlar, sadece kurumsal altyapılar için değil, bireysel kullanıcı güvenliği için de temel öneme sahip.
Gelecek Perspektifi ve Kaynaklar
Bu rapor, zararlı yazılımların gelecekte LLM sorguları üzerinden kendini güncelleme kapasitesine sahip olduğunu gösteriyor. Kurumlar, tehdit aktörlerinin kullandığı modellerin davranışlarını izlemek için güvenlik olay yönetimi süreçlerini güçlendirmeli, savunma katmanlarını güncellemelidir. Raporun tamamına ve teknik ayrıntılarına erişim için yukarıdaki bağlantıya başvurulabilir.