Зловреден софтуер, задвижван от изкуствен интелект, заплашва Windows 11: традиционният антивирусен софтуер се проваля

Ситуацията със сигурността на Windows 11 продължава да се влошава. Потребителите и бизнесите са изправени пред две опасни тенденции: първо, нова заплаха под формата на зловреден софтуер, задвижван от изкуствен интелект, и второ, допълнителни спешни актуализации от Microsoft, които уж поправят критични уязвимости в сигурността.

Тази комбинация ясно показва колко бързо се променя пейзажът от заплахи в средата на Windows днес. Зловредният софтуер, задвижван от изкуствен интелект, използва нови техники. Фокусът е върху нов зловреден софтуер, наречен DeepLoad, който се различава от конвенционалния зловреден софтуер: вместо да доставя подозрителни файлове до компютъра, той използва така наречения “безфайлов“ метод за атака.

По-конкретно, потребителите биват подлагани да въвеждат на пръв поглед безобидни команди в командния ред или PowerShell. Подобно действие е това, което задейства инфекцията и традиционните антивирусни скенери, които откриват предимно известни файлове, често се провалят.

След като системата бъде компрометирана, зловредният софтуер може да се възползва постоянно и да комуникира със сървърите на нападателите, използвайки легитимни инструменти на Windows. Експертите подчертават, че тези инструменти представляват особена заплаха, включително PowerShell, Windows Management Instrumentation (WMI) и легитимни системни библиотеки.

Основната цел на DeepLoad е кражбата на идентификационни данни, особено в корпоративна среда. Но за потребителите това означава едно: традиционните защитни механизми все повече изчерпват възможностите си. Зловредният софтуер, задвижван от изкуствен интелект, може динамично да адаптира кода си, което значително усложнява откриването му. Също, времето между откриването на уязвимост и първите атаки се скъсява.

Според изследователи по киберсигурност, DeepLoad принадлежи към така наречените loader-инструменти от следващо поколение, които действат като начален етап на атака. Основната му функция не е да причинява незабавни щети, а тихо да подготви системата за по-нататъшна инфекция.

След като бъде активиран, той може да изтегля допълнителни модули от отдалечени сървъри – по-специално, бекдор, кейлогъри или инструменти за преминаване през мрежата. Този подход позволява на атакуващите да променят полезния товар след проникване, което усложнява анализа и реагирането на инцидентите. За домашните потребители рискът в момента е по-нисък, отколкото за бизнеса. Въпреки това, дори конвенционалните атаки все повече разчитат на измама, а не на технологии.

DeepLoad лесно заобикаля системите за откриване на Windows, които откриват подозрително поведение в програмите на трети страни. Освен това са регистрирани сценарии, в които зловредният софтуер използва криптирани комуникационни канали и техники, за да прикрие трафика като нормална мрежова активност, което прави трудно откриването му дори с корпоративни системи за мониторинг.

Какво да направите? Въпреки че повечето текущи атаки са насочени специално към бизнеса, има няколко основни стъпки, които можете да предприемете още сега:

• Инсталирайте актуализациите на Windows възможно най-скоро.
• Никога не изпълнявайте команди в PowerShell или Command Prompt, освен ако не разбирате 100% какво правят.
• Бъдете подозрителни към инструкции от мрежата или имейли, особено към нежеланите, които са признак за фишинг.
• Използвайте актуален софтуер за сигурност като допълнителен слой защита.

Междувременно Microsoft вече пусна спешни актуализации за сигурност в средата на март, които засягат предимно корпоративните версии на Windows 11, като 24H2 и 25H2, както и варианта LTSC.

Няколко критични уязвимости в услугата за маршрутизиране и отдалечен достъп бяха отстранени. Нападателите можеха да използват тези недостатъци, за да изпълняват дистанционно злонамерен код и напълно да поемат контрола над системата. В някои сценарии, простото свързване с компрометиран сървър беше достатъчно, за да се извърши успешна атака.

За съжаление, настоящите проблеми са част от по-голяма тенденция: Microsoft Office също е засегнат. През март Microsoft отстрани над 80 уязвимости, включително критични недостатъци в Excel и други Office приложения. В някои случаи, самото отваряне на панела за предварителен преглед в Outlook беше достатъчно, за да се изпълни злонамерен код.

Освен това, ранни примери показват, че ИИ-функциите и по-специално Copilot – могат да създават и нови вектори на атака: например, когато данните се предават неволно чрез автоматизирани процеси.