Компания NGR Softlab добавила в SIEM-систему Alertix новое правило корреляции для выявления кибератак с использованием коммерческих языковых моделей. Разработка направлена на обнаружение сценариев, где вредоносное ПО обращается к LLM через легитимные API для выбора дальнейших действий в инфраструктуре.
Механизм работы вредоносного ПО, использующего нейросети в процессе компрометации, ранее был описан исследователями Cisco Talos на примере программы Closedquorum. Злоумышленники передают модели данные об атакуемой системе, получая от них инструкции для развития атаки, что затрудняет идентификацию угроз из-за использования стандартных корпоративных API.
Новое правило под названием «Обращение процесса к API LLM перед доступом к LSASS» вошло в коробочный набор экспертизы Alertix. Оно отслеживает последовательность событий: сначала фиксируется запрос процесса к API языковой модели, а затем попытка доступа к памяти системного процесса Windows, где хранятся учетные данные пользователей.
Такой подход позволяет обнаруживать подозрительную активность независимо от уникальных признаков конкретных вредоносных файлов. Для корректной работы правила требуется сбор телеметрии Sysmon с контролируемых Windows-хостов, что позволяет выявлять угрозы даже при легитимном внешнем виде отдельных действий программы.
