Quando il malware inizia a riscrivere le proprie tracce, le firme perdono efficacia

L'aspetto interessante non è che il malware sappia nascondersi. Il malware si nasconde da anni. La svolta più rilevante è il comportamento a runtime che viene descritto ora: codice che può cambiare durante l'esecuzione, rigenerare comandi o modificare rapidamente l'offuscamento abbastanza da indebolire il rilevamento basato sui file. Questo conta perché molti stack di sicurezza continuano a fare affidamento sull'idea che un campione noto e malevolo possa essere identificato da un hash o da un pattern stabile.

Fatti rapidi

• Il malware assistito dall'IA viene descritto come capace di cambiare codice durante l'esecuzione per frustrare il rilevamento basato sulle firme.
• I modelli linguistici di grandi dimensioni potrebbero essere usati a runtime per riscrivere script, generare comandi o variare l'offuscamento.
• Gli hash statici sono fragili quando un payload può mutare la propria forma visibile tra esecuzioni o varianti.
• La telemetria comportamentale diventa più importante quando l'identità del file non è più affidabile.
• Le informazioni pubbliche non stabiliscono quanto diffuse o operative siano queste tecniche.

Come funziona l'escamotage

Da una prospettiva difensiva, la minaccia ricorda il malware polimorfico o metamorfico: l'obiettivo di fondo resta lo stesso, ma l'aspetto esterno cambia. Questo cambiamento può aggirare i controlli di corrispondenza esatta, soprattutto quando il rilevamento dipende da hash, semplici pattern di byte o da un campione già decompresso e noto. MITRE ATT&CK considera il codice polimorfico un metodo di evasione proprio perché il campione può apparire diverso pur continuando a comportarsi in modo malevolo.

L'aggiunta di un LLM, se fa davvero parte del percorso a runtime, aumenta il ritmo. Invece di una routine di mutazione fissa, il malware potrebbe essere in grado di generare nuovi script o comandi su richiesta. Questo non lo rende invincibile, ma può ridurre la finestra in cui un indicatore statico resta utile. In pratica, i difensori possono vedere tornare la stessa famiglia con una superficie diversa ogni volta.

Cosa dovrebbero monitorare i difensori

I segnali migliori sono spesso comportamentali: genealogia dei processi, interpreti di script sospetti, attività di unpacking, picchi di entropia, processi figlio insoliti e sezioni di memoria che non corrispondono al file originale. Questi sono più difficili da falsificare in modo coerente rispetto a un nome file o a un hash. I controlli non basati sulle firme, come l'application allowlisting, i controlli di integrità del software e la telemetria a runtime, possono aiutare ad assorbire la perdita di fiducia nelle impronte statiche.

C'è anche un limite importante. Le informazioni disponibili supportano un'analisi del rischio, non l'affermazione che tutto il malware assistito dall'IA si comporti in questo modo, o che ogni campione riscriva davvero se stesso a ogni esecuzione. La lezione tecnica è più circoscritta e più forte: se il codice può alterare la propria apparenza mentre è in esecuzione, la difesa incentrata sui file diventa una prima linea debole, non una risposta completa.

Conclusione

La lezione più ampia è semplice: i difensori dovrebbero smettere di presumere che il codice malevolo rimanga visivamente stabile. In un'epoca in cui la generazione a runtime può sfumare il confine tra un campione e il successivo, il rilevamento deve preoccuparsi più di ciò che il codice fa che di come appare.

WIKICROOK

• Codice polimorfico: Malware che cambia la propria forma visibile mantenendo la stessa funzione malevola.
• Rilevamento basato sulle firme: Un metodo che cerca pattern di file noti, hash o sequenze di byte.
• Offuscamento: Tecniche che rendono il codice più difficile da leggere, analizzare o rilevare.
• Modello linguistico di grandi dimensioni (LLM): Un sistema di IA che può generare testo, script o comandi a partire da prompt.
• Analisi comportamentale: Rilevamento che si concentra su ciò che il software fa a runtime invece che solo su come appare su disco.