3月22日最新消息顯示，近年來網(wǎng)絡(luò)威脅環(huán)境正經(jīng)歷深刻變革，其中一個明顯趨勢是威脅行動者與企業(yè)防御者同步追蹤和應(yīng)用最新技術(shù)趨勢。與企業(yè)防御者類似，威脅行動者亦對人工智能技術(shù)如大語言模型表現(xiàn)出濃厚興趣，旨在提升工作效率，并利用這些平臺來優(yōu)化攻擊策略和提高技術(shù)水平。微軟與OpenAI合作進(jìn)行的網(wǎng)絡(luò)威脅生態(tài)研究目前尚未發(fā)現(xiàn)大語言模型被用于大規(guī)模攻擊。然而，微軟認(rèn)為此項重要研究成果有必要公之于眾，因為它揭示了當(dāng)前知名威脅行動者正在嘗試的早期、漸進(jìn)性舉措，并提供了如何防御和應(yīng)對這些行動者的策略。
威脅行動者持續(xù)對人工智能保持高度關(guān)注，不斷探索當(dāng)前技術(shù)的功能和潛在的安全漏洞。我們需將這些風(fēng)險置于具體背景中進(jìn)行分析。與多因素身份驗證和零信任防御等網(wǎng)絡(luò)安全實踐同樣重要，威脅行動者可能會利用基于人工智能的工具來改進(jìn)其網(wǎng)絡(luò)攻擊模式，如通過社會工程學(xué)手段尋找易受攻擊的設(shè)備和賬戶。本文亦列舉了一些威脅行動者的活動實例。網(wǎng)絡(luò)安全行業(yè)迫切需要使用如MITRE的ATT&CK框架或ATLAS知識庫來更新和更好地追蹤他們的戰(zhàn)術(shù)、技術(shù)和程序（TTPs）。
森林暴雪（STRONTIUM）是一個與俄羅斯軍事情報機構(gòu)GRU第26165單位相關(guān)聯(lián)的威脅行動者，其主要目標(biāo)是針對對俄羅斯政府具有戰(zhàn)略利益的受害者。其活動范圍廣泛，涉及國防、交通、政府、能源、非政府組織和信息技術(shù)等多個領(lǐng)域。在俄烏戰(zhàn)爭期間，森林暴雪積極攻擊與沖突相關(guān)的組織，支持俄羅斯的外交和軍事目標(biāo)。森林暴雪主要利用大語言模型研究衛(wèi)星和雷達(dá)技術(shù)，這些技術(shù)可能與烏克蘭的常規(guī)軍事行動或網(wǎng)絡(luò)攻擊的通用研究相關(guān)。根據(jù)觀察，其TTPs包括使用大語言模型進(jìn)行偵察和增強腳本技術(shù)，相關(guān)TTPs分類描述如下：
-
大語言模型指導(dǎo)的偵察：與大語言模型交互以了解衛(wèi)星通信協(xié)議、雷達(dá)成像技術(shù)和特定技術(shù)參數(shù)。這些交互行為表明威脅行為者試圖更為深入地了解衛(wèi)星的能力。
-
大語言模型增強的腳本技術(shù)：尋求在基本腳本任務(wù)中提供支持，包括文件操作、數(shù)據(jù)選擇、正則表達(dá)式和多處理，以期自動化或優(yōu)化技術(shù)操作。
森林暴雪由于其與俄羅斯軍事情報機構(gòu)GRU有關(guān)聯(lián)，并主要關(guān)注對俄羅斯政府具有戰(zhàn)略利益的受害者，我們可以推斷，其可能的目標(biāo)包括但不限于：
政府機構(gòu)和高級官員：森林暴雪可能針對與俄羅斯國家利益緊密相關(guān)的政府部門或高級官員進(jìn)行情報收集或網(wǎng)絡(luò)攻擊，以獲取敏感信息或破壞對方的決策過程。
國防工業(yè)和研究機構(gòu)：考慮到其對衛(wèi)星和雷達(dá)技術(shù)的研究，森林暴雪可能針對國防工業(yè)和研究機構(gòu)，試圖獲取先進(jìn)的軍事技術(shù)或了解對方的軍事部署。
關(guān)鍵基礎(chǔ)設(shè)施運營商：能源、交通等關(guān)鍵基礎(chǔ)設(shè)施是國家安全的重要組成部分，森林暴雪可能試圖通過攻擊這些目標(biāo)來影響國家的經(jīng)濟(jì)運行或社會穩(wěn)定。
翡翠雨（THALLIUM）是一個歸屬朝鮮的威脅行動者，2023年一直活躍于網(wǎng)絡(luò)空間。他們主要通過釣魚郵件來竊取和收集與朝鮮問題相關(guān)的專業(yè)人士情報。他們冒充知名學(xué)術(shù)機構(gòu)和非政府組織，引誘受害者分享對朝鮮外交政策的看法。翡翠雨也利用大語言模型進(jìn)行漏洞研究、增強腳本技術(shù)，并支持社會工程學(xué)攻擊。相關(guān)TTPs包括大語言模型輔助的漏洞研究、增強的腳本技術(shù)以及支持的社會工程學(xué)，相關(guān)TTPs分類描述如下：
-
大語言模型輔助的漏洞研究：與大語言模型交互，以更好地了解公開報道的漏洞，例如CVE-2022-30190微軟支持診斷工具（MSDT）漏洞（稱為Follina）。
-
大語言模型增強的腳本技術(shù)：利用大預(yù)言模型進(jìn)行基本的腳本編寫任務(wù)，例如對系統(tǒng)中的某些用戶事件進(jìn)行程序化識別，并尋求幫助排除故障、理解各種Web技術(shù)。
-
大語言模型支持的社會工程學(xué)：利用大語言模型協(xié)助起草和生成可能用于針對具有區(qū)域?qū)I(yè)知識的個人的釣魚攻擊的內(nèi)容。
-
大語言模型指導(dǎo)的偵察：與大語言模型交互，以識別重點關(guān)注國防問題或朝鮮核計劃的朝鮮問題智庫、政府組織或?qū)＜摇?
翡翠雨作為歸屬朝鮮的威脅行為者，其攻擊目標(biāo)可能包括：
外交政策研究機構(gòu)和智庫：通過釣魚郵件等手段，翡翠雨可能針對研究朝鮮外交政策的專家、學(xué)者和機構(gòu)進(jìn)行情報收集，以了解國際社會對其政策的看法和反應(yīng)。
與朝鮮有利益關(guān)系的組織和個人：翡翠雨可能針對與朝鮮有商業(yè)往來、文化交流或其他利益關(guān)系的組織和個人進(jìn)行攻擊，以獲取經(jīng)濟(jì)利益或破壞對方的聲譽。
安全和情報機構(gòu)：為了獲取對方的情報或破壞對方的安全體系，翡翠雨可能也會將安全和情報機構(gòu)作為攻擊目標(biāo)。
需要注意的是，具體的攻擊目標(biāo)可能因時間、地點和戰(zhàn)略需要而有所變化，而且威脅行為者通常會采取隱蔽的手段來避免被發(fā)現(xiàn)。因此，要準(zhǔn)確識別并應(yīng)對這些威脅，需要網(wǎng)絡(luò)安全行業(yè)和相關(guān)機構(gòu)保持高度警惕，并采取有效的防御措施。
深紅沙塵暴（CURIUM）是一個與伊朗伊斯蘭革命衛(wèi)隊（IRGC）有關(guān)聯(lián)的威脅行為者，自2017年以來一直活躍在網(wǎng)絡(luò)安全領(lǐng)域。該組織針對多個行業(yè)進(jìn)行了廣泛的攻擊，包括國防、海運、交通運輸、醫(yī)療保健和技術(shù)等。這些攻擊往往采用誘餌攻擊和社會工程手段，通過傳遞定制的.NET惡意軟件來達(dá)成其目的。
深紅沙塵暴的攻擊方式展現(xiàn)出了高度的技術(shù)能力和靈活性。他們使用基于電子郵件的C2通道來控制惡意軟件，這使得他們的攻擊行動更加隱蔽和難以追蹤。此外，他們還與其他已知的威脅行為者如Tortoiseshell、Imperial Kitten和Yellow Liderc存在交集，這表明他們可能與其他黑客組織或國家支持的行動者有著某種形式的合作關(guān)系。
值得注意的是，深紅沙塵暴對大語言模型的使用也顯示出他們在技術(shù)方面的創(chuàng)新。他們利用大語言模型來支持社會工程學(xué)活動，生成各種逼真的釣魚郵件，以誘騙目標(biāo)點擊惡意鏈接或下載惡意附件。此外，他們還利用大語言模型來增強腳本技術(shù)，生成支持應(yīng)用程序和Web開發(fā)的代碼片段，以實現(xiàn)與遠(yuǎn)程服務(wù)器的交互、Web抓取、自動執(zhí)行任務(wù)以及發(fā)送系統(tǒng)信息等功能。根據(jù)這些觀察，相關(guān)TTPs分類描述如下：
-
大語言模型支持的社會工程學(xué)：與大語言模型交互以生成各種釣魚郵件，包括假冒來自國際發(fā)展機構(gòu)的郵件和試圖誘使著名女權(quán)主義者訪問攻擊者構(gòu)建的女權(quán)主義網(wǎng)站的郵件。
-
大語言模型增強的腳本技術(shù)：使用大語言模型生成支持應(yīng)用程序和Web開發(fā)的代碼片段，與遠(yuǎn)程服務(wù)器交互，Web抓取，在用戶登錄時執(zhí)行任務(wù)，以及通過電子郵件發(fā)送系統(tǒng)信息等。
-
大語言模型增強的異常檢測規(guī)避：試圖利用大語言模型輔助開發(fā)代碼以規(guī)避檢測，學(xué)習(xí)如何通過注冊表或Windows策略禁用防病毒軟件，并在應(yīng)用程序關(guān)閉后刪除目錄中的文件。
基于上述深入剖析，微軟針對大語言模型相關(guān)的TTPs進(jìn)行了詳盡的梳理，并成功將其與MITRE ATT＆CK框架和ATLAS知識庫進(jìn)行了映射與分類。此舉旨在為網(wǎng)絡(luò)安全社區(qū)提供一種統(tǒng)一且高效的分類方法，以便聯(lián)合追蹤大語言模型的惡意應(yīng)用并共同制定防御策略。
具體而言，微軟發(fā)現(xiàn)大語言模型在多個方面被惡意利用。在偵察階段，威脅行為者利用大語言模型搜集技術(shù)情報和潛在的漏洞信息。在攻擊執(zhí)行階段，他們借助大語言模型生成或優(yōu)化網(wǎng)絡(luò)攻擊腳本，用于識別用戶事件、協(xié)助故障排除和理解網(wǎng)絡(luò)技術(shù)。同時，大語言模型也被用于輔助惡意軟件和工具的開發(fā)，以及支持社會工程學(xué)活動，如翻譯和溝通，以建立聯(lián)系或操縱目標(biāo)。
此外，大語言模型還被用于漏洞研究，幫助威脅行為者識別軟件和系統(tǒng)中的潛在弱點。在攻擊載荷制作方面，大語言模型能夠協(xié)助創(chuàng)建并完善用于網(wǎng)絡(luò)攻擊的惡意載荷。同時，為了規(guī)避檢測系統(tǒng)，威脅行為者利用大語言模型開發(fā)方法，使惡意活動與正常行為或流量難以區(qū)分。更令人擔(dān)憂的是，大語言模型還被用于指導(dǎo)安全功能的繞過，如雙因素身份驗證、CAPTCHA或其他訪問控制機制。最后，在資源開發(fā)方面，大語言模型在工具開發(fā)、修改和戰(zhàn)略運營規(guī)劃中也發(fā)揮著重要作用。
隨著人工智能技術(shù)持續(xù)取得突破性進(jìn)展，其所帶來的潛在威脅和濫用風(fēng)險也日益顯現(xiàn)。鑒于大型語言模型可能遭受的惡意應(yīng)用，我們必須保持高度警惕，并時刻關(guān)注那些企圖利用或濫用這些模型的威脅行為者的動態(tài)。在保護(hù)客戶安全方面，單打獨斗絕非良策，與業(yè)界伙伴的緊密合作顯得尤為關(guān)鍵。因此，積極與多方合作伙伴共享情報，共同提升客戶保護(hù)水平，確保用戶能夠安心享受人工智能帶來的便利。相信通過不懈的努力和緊密的合作，我們能夠有效應(yīng)對人工智能技術(shù)的挑戰(zhàn)，促進(jìn)人類社會的和諧發(fā)展。