AI στην εγκληματικότητα στον κυβερνοχώρο
Πώς το AI αλλάζει την αλυσίδα δολοφονίας στον κυβερνοχώρο
Οι επιθετικές επιχειρήσεις στον κυβερνοχώρο είναι σκόπιμες ενέργειες που διεξάγονται στον κυβερνοχώρο για τη διείσδυση, τη διατάραξη ή την καταστροφή αντίπαλων συστημάτων για την επίτευξη στρατηγικών στόχων. Συνήθως διαμορφώνονται μέσω της Αλυσίδα δολοφονίας στον κυβερνοχώρο, ένα πλαίσιο που αναπτύχθηκε αρχικά από την Lockheed Martin. Το πλαίσιο αναλύει μια επίθεση σε μια δομημένη ακολουθία φάσεων, παρακολουθώντας την πορεία του αντιπάλου από την αρχική αναγνώριση έως τις τελικές ενέργειες που γίνονται για την επίτευξη των στόχων (π.χ., διαρροή ή καταστροφή δεδομένων).
2
2
Οπλοποίηση
Σύζευξη εκμετάλλευσης με κερκόπορτα σε παραδοτέο ωφέλιμο φορτίο
Παράδοση
Παράδοση οπλισμένου πακέτου στο θύμα μέσω ηλεκτρονικού ταχυδρομείου, διαδικτύου, USB κ.λπ.
3
3
4
4
Εκμετάλλευση
Εκμετάλλευση ευπάθειας για την εκτέλεση κώδικα στο σύστημα του θύματος
Εγκατάσταση
Εγκατάσταση κακόβουλου λογισμικού στο περιουσιακό στοιχείο
5
5
6
6
Διοίκηση και έλεγχος (C2)
Κανάλι εντολών για απομακρυσμένο χειρισμό του θύματος
Δράσεις για τους στόχους
Με την πρόσβαση "Hands on Keyboard", οι εισβολείς επιτυγχάνουν τους αρχικούς τους στόχους
7
7
Τα τελευταία χρόνια, οι επιθετικές επιχειρήσεις στον κυβερνοχώρο έχουν ενταθεί τόσο σε όγκο όσο και σε πολυπλοκότητα. Οι παγκόσμιες κυβερνοεπιθέσεις όχι μόνο αυξάνονται απότομα αλλά και διαφοροποιούνται ως προς τον τύπο τους.: το 2022, 27% των παγκόσμιων κυβερνοεπιθέσεων βασίζονταν σε εκβιασμούς, 21% αφορούσαν backdoors και 17% ransomware.. Η τεχνητή νοημοσύνη (AI) παίζει σημαντικό ρόλο σε αυτή την κλιμάκωση και διαφοροποίηση, επιτρέποντας νέες μορφές επιθέσεων όπως τα deepfakes ή το κακόβουλο λογισμικό σμήνος, ενώ παράλληλα ενισχύει παραδοσιακούς φορείς όπως το phishing ή η εκμετάλλευση ευπαθειών. Σύμφωνα με το Παγκόσμια έρευνα CFO, ένα εντυπωσιακό ποσοστό 85% των επαγγελματιών της ασφάλειας στον κυβερνοχώρο αποδίδει την αύξηση των επιθέσεων στην οπλοποίηση των γεννητικών AI. Στο Μπενγκαλούρου της Ινδίας, μια κρατική έκθεση επιβεβαίωσε αυτή την τάση: μέχρι τις αρχές του 2025, 80% των ηλεκτρονικών μηνυμάτων ηλεκτρονικού "ψαρέματος" είχαν δημιουργηθεί με AI.
Το AI μετασχηματίζει την ίδια την αλυσίδα δολοφονίας στον κυβερνοχώρο και έχει την δυνατότητα υπερφόρτωσης κάθε σταδίου επιθετικών εκστρατειών στον κυβερνοχώρο. Η ταχύτητα και η κλίμακα με την οποία το AI αναδιαμορφώνει αυτή την αλυσίδα έχει καταστεί επιτακτική ανησυχία για την εθνική ασφάλεια.
Αυτή η εργαλειοθήκη επικεντρώνεται ειδικά στο AI ως παράγοντα που επιτρέπει επιθέσεις, διερευνώντας πώς μετασχηματίζει τα διάφορα στάδια της αλυσίδας δολοφονίας στον κυβερνοχώρο.
Αναγνωριστικό
Ο επιτιθέμενος συλλέγει πληροφορίες σχετικά με τον στόχο, όπως στοιχεία εργαζομένων, μηνύματα ηλεκτρονικού ταχυδρομείου ή δεδομένα συστήματος, για να σχεδιάσει την επίθεσή του.
Πώς το AI αλλάζει την αναγνώριση:
Επισημαίνεται η περίπτωση: ChatGPT ως βοηθός αναγνώρισης
Το 2024, η ερευνήτρια κυβερνοασφάλειας Sheetal Tamara δημοσίευσε μια εργασία που δείχνει πώς μεγάλα γλωσσικά μοντέλα όπως το ChatGPT μπορούν να επιταχύνουν σημαντικά τη φάση αναγνώρισης μιας επίθεσης. Αντί να ξοδεύει ώρες γράφοντας σενάρια και συλλέγοντας χειροκίνητα πληροφορίες ανοικτού κώδικα, ο ερευνητής χρησιμοποίησε μια σύντομη σειρά από προτροπές συνομιλίας, για παράδειγμα: "Απαριθμήστε όλα τα subdomains που μπορείτε να βρείτε για το examplecompany.com", "Συνοψίστε την τοπολογία δικτύου της εταιρείας με βάση τις δημόσια διαθέσιμες πληροφορίες" και "Προσδιορίστε ποια λειτουργικά συστήματα και υπηρεσίες είναι πιθανότερο να εκτελούνται σε αυτούς τους διακομιστές".
Μέσα σε λίγα λεπτά, το μοντέλο παρήγαγε χρήσιμο αναγνωριστικό υλικό, όπως:
- έναν κατάλογο τομέων και υποτομέων που σχετίζονται με την εταιρεία-στόχο
- πιθανές περιοχές διευθύνσεων IP
- σημειώσεις σχετικά με τις διαμορφώσεις SSL/TLS, τις πιθανές ανοικτές θύρες και τις κοινές υπηρεσίες
- δημόσιες πληροφορίες εργαζομένων (από το LinkedIn και τα δελτία τύπου) που θα μπορούσαν να χρησιμοποιηθούν για spear-phishing.
Εκεί που η συλλογή OSINT θα απαιτούσε κανονικά ώρες ή ημέρες χειρωνακτικής εργασίας, το πείραμα μείωσε το έργο σε μια ροή εργασίας που απαιτεί πολύ λιγότερες τεχνικές γνώσεις. Συνεπώς, η μελέτη υπογραμμίζει τον τρόπο με τον οποίο τα παραγωγικά μοντέλα μπορούν να μειώσουν το εμπόδιο στην αυτοματοποιημένη αναγνώριση, με σαφείς επιπτώσεις στην αμυντική πρακτική και στη μοντελοποίηση απειλών.
-
Αυτοματοποιημένα εργαλεία σάρωσης - "Weaponizing AI in Cyberattacks Μια συγκριτική μελέτη των εργαλείων AI που χρησιμοποιούνται για επιθετική ασφάλεια" (Annis & Hamoudeh 2025)
Η συγκριτική μελέτη δείχνει πώς τα αυτοματοποιημένα εργαλεία (π.χ. WebCopilot, Sublist3r, RustScan+Nmap) επιταχύνουν τη σάρωση δικτύου και την απαρίθμηση υποτομέων. Τα αποτελέσματα υπογραμμίζουν πώς το AI θα μπορούσε να αυτοματοποιήσει περαιτέρω επιθετικές εργασίες, όπως η προσομοίωση σεναρίων επίθεσης και η δυναμική προσαρμογή στις άμυνες, ανοίγοντας το δρόμο για πλήρως αυτοματοποιημένες επιθετικές επιχειρήσεις ασφαλείας. -
AI εργαλεία για αναγνώριση - "Η απειλή της επιθετικής AI στους οργανισμούς" (Mirsky et al. 2023)
Η έρευνα αναδεικνύει 32 επιθετικά εργαλεία AI που χρησιμοποιούν βαθιά μάθηση, ενισχυτική μάθηση και NLP για την αυτοματοποίηση της ανίχνευσης σημείων εισόδου, της δημιουργίας προσωπικοτήτων και της επιλογής στόχων. Αυτά τα εργαλεία ενισχύουν το OSINT, επιτρέπουν ρεαλιστικά deepfakes για phishing και επιτρέπουν ακόμη και σε άπειρους επιτιθέμενους να σχεδιάζουν και να ξεκινούν πιο αποτελεσματικές εκστρατείες. -
Συλλογή πληροφοριών και αυτόματη εκμετάλλευση - "Οπλισμένο AI για επιθέσεις στον κυβερνοχώρο" (Yamin et al. 2021)
Η έρευνα διερευνά πρόσφατες κυβερνοεπιθέσεις που χρησιμοποίησαν τεχνικές βασισμένες στο AI και προσδιορίζει σχετικές στρατηγικές μετριασμού. Επισημαίνει διάφορα εργαλεία AI (π.χ. GyoiThon, Deep Exploit) που μπορούν να βοηθήσουν στη συλλογή δεδομένων σχετικά με το σύστημα, τους πιθανούς στόχους και τα μέτρα άμυνας.
Οπλοποίηση
Ο επιτιθέμενος χρησιμοποιεί τις πληροφορίες που αποκαλύπτονται κατά τη διάρκεια της αναγνώρισης για να κατασκευάσει ή να προσαρμόσει ένα κακόβουλο ωφέλιμο φορτίο (π.χ. κακόβουλο λογισμικό ή exploits) και να εκμεταλλευτεί τις αδυναμίες του στόχου.
Πώς το AI αλλάζει την οπλοποίηση:
Το AI απλοποιεί τη δημιουργία και τη ρύθμιση κακόβουλων ωφέλιμων φορτίων με τη δημιουργία ή την τροποποίηση κώδικα και τη δοκιμή παραλλαγών έναντι μοντέλων ανίχνευσης. Αυτό μπορεί να παράγει πιο διακριτά, προσαρμοστικά και στοχευμένα ωφέλιμα φορτία, συμπεριλαμβανομένων πολυμορφικών παραλλαγών που αλλάζουν την εμφάνισή τους με κάθε εκτέλεση. Η αντιπαθητική δοκιμή μπορεί να χρησιμοποιηθεί για την τελειοποίηση των ωφέλιμων φορτίων πριν από την ανάπτυξή τους.
Επισημαίνεται η περίπτωση: AI-generated malware dropper in the wild
Το 2024, αναλυτές κυβερνοασφάλειας εντόπισε μια εκστρατεία phishing που αρχικά φαινόταν συνηθισμένη: μια σειρά μηνυμάτων ηλεκτρονικού ταχυδρομείου που διανέμουν ένα συμβατικό ωφέλιμο φορτίο κακόβουλου λογισμικού. Ωστόσο, η προσεκτικότερη εξέταση του dropper (δηλαδή του μικρού προγράμματος που είναι υπεύθυνο για την εγκατάσταση και την ενεργοποίηση του πρωτογενούς κακόβουλου λογισμικού) αποκάλυψε ένα ασυνήθιστο χαρακτηριστικό.
Η δομή και η σύνταξη του dropper έδειχναν ότι είχε παραχθεί από ένα μεγάλο γλωσσικό μοντέλο και όχι από άνθρωπο-προγραμματιστή. Παρόλο που λειτουργούσε ως ένα απλό wrapper, το dropper που παρήγαγε το AI ήταν τόσο γυαλισμένο όσο και αποτελεσματικό, επιδεικνύοντας την ικανότητα να αποφεύγει τις παραδοσιακές μεθόδους ανίχνευσης. Παρέκαμψε με επιτυχία τις βασικές υπογραφές antivirus και παρέδωσε το κακόβουλο λογισμικό όπως προβλεπόταν.
Το εύρημα αυτό ήταν αξιοσημείωτο ως μία από τις πρώτες επιβεβαιωμένες περιπτώσεις κακόβουλου κώδικα που δημιουργήθηκε από το AI και αναπτύχθηκε στη φύση. Ενώ το υποκείμενο κακόβουλο λογισμικό δεν ήταν νέο, η ανάθεση μέρους της διαδικασίας δημιουργίας όπλων στην AI αποτέλεσε σημαντική εξέλιξη. Έδειξε πώς οι επιτιθέμενοι μπορούσαν να κλιμακώσουν τις επιχειρήσεις, να μειώσουν το κόστος ανάπτυξης και να προσαρμοστούν ταχύτερα, ενώ ταυτόχρονα περιέπλεκαν τις προσπάθειες ανίχνευσης και αντιμετώπισης.
-
Πολυμορφικό κακόβουλο λογισμικό ενισχυμένο με AI - "Πολυμορφικό κακόβουλο λογισμικό AI: Itkin 2025)
Το άρθρο προτείνει ένα proof-of-concept ενός πολυμορφικού κακόβουλου λογισμικού με AI, το οποίο ξαναγράφει δυναμικά τον κώδικά του κατά την εκτέλεση για να αποφύγει την ανίχνευση, κατασκευασμένο ως keylogger που δημιουργεί συγκεκαλυμμένα ωφέλιμα φορτία ανά εκτέλεση. -
Μεγάλα γλωσσικά μοντέλα για την παραγωγή κώδικα - "Μεγάλα γλωσσικά μοντέλα για τη δημιουργία κώδικα: Huynh & Lin 2025)
Η έρευνα δείχνει πώς οι LLM (π.χ. CodeLlama, Copilot) μπορούν να παράγουν αυτόματα εκτελέσιμο κώδικα από φυσική γλώσσα, μειώνοντας το εμπόδιο για τη δημιουργία κακόβουλου λογισμικού, την ανάπτυξη εκμεταλλεύσεων και την προσαρμογή των ωφέλιμων φορτίων από τους επιτιθέμενους. -
AI-generated novel obfuscation techniques - "ADVERSARIALuscator: (Sewak et al. 2021)
Το άρθρο παρουσιάζει το ADVERSARIALuscator, ένα AI που μπορεί να ξαναγράψει αυτόματα τον κώδικα κακόβουλου λογισμικού για να δημιουργήσει πολλές εκδόσεις και να φαίνεται διαφορετικό κάθε φορά, προκειμένου να αποφύγει την ανίχνευση από τα συστήματα ασφαλείας. Σε δοκιμές, περίπου το ένα τρίτο αυτών των παραλλαγών μπόρεσε να παρακάμψει προηγμένα συστήματα ασφαλείας. -
AI-driven "vibe-coding" malware - "Οι χάκερς χρησιμοποιούν το AI για να αναλύσουν τις εκθέσεις πληροφοριών απειλών και το κακόβουλο λογισμικό 'vibe code'" (Kelly 2025)
Σε αυτό το άρθρο ειδήσεων, οι ερευνητές ασφαλείας ανέφεραν ότι οι χάκερς χρησιμοποιούν το generative AI για να διαβάσουν και να ερμηνεύσουν τις εκθέσεις πληροφοριών απειλών και στη συνέχεια να παράγουν αυτόματα κακόβουλο λογισμικό. Η τεχνική αυτή, που ονομάζεται "vibe-coding", μεταφράζει τις αναλύσεις που διαβάζονται από τον άνθρωπο σε κώδικα, επιτρέποντας στους αντιπάλους να μετατρέψουν γρήγορα τη δημόσια έρευνα για την ασφάλεια στον κυβερνοχώρο σε exploits.
Παράδοση
Ο επιτιθέμενος εξαπολύει την επίθεση μεταδίδοντας το κακόβουλο ωφέλιμο φορτίο στον στόχο, συχνά μέσω ηλεκτρονικών μηνυμάτων ηλεκτρονικού "ψαρέματος", ψεύτικων ιστότοπων ή μη ασφαλών δικτύων.
Πώς το AI αλλάζει την παράδοση:
Το AI προσαρμόζει και χρονομετρά τους μηχανισμούς παράδοσης για να μεγιστοποιήσει την επιτυχία. Αυτοματοποιεί τη δημιουργία πειστικού περιεχομένου phishing, deepfakes σε πραγματικό χρόνο, προσαρμοστικές αλληλεπιδράσεις συνομιλίας και ρεαλιστικές απατηλές ιστοσελίδες και χρησιμοποιεί δεδομένα αναγνώρισης για να επιλέξει τη βέλτιστη στιγμή και το βέλτιστο κανάλι για την παράδοση. Αυτό μειώνει την ανάγκη για ανθρώπινες δεξιότητες κατά την εκτέλεση των εκστρατειών.
Επισημαίνεται η περίπτωση: Διευθύνων Σύμβουλος στην Arup
Το 2024, το προσωπικό του Βρετανική εταιρεία μηχανικών Arup έλαβε αυτό που φαινόταν να είναι μια νόμιμη βιντεοκλήση από τον περιφερειακό διευθύνοντα σύμβουλό τους. Το στέλεχος ζήτησε επειγόντως τη μεταφορά κεφαλαίων σε σχέση με μια εμπιστευτική συναλλαγή. Το άτομο στην οθόνη αναπαρήγαγε την εμφάνιση, τη φωνή και τους τρόπους συμπεριφοράς του διευθύνοντος συμβούλου με αξιοσημείωτη ακρίβεια.
Στην πραγματικότητα, ο καλών δεν ήταν το στέλεχος, αλλά ένα deepfake που δημιουργήθηκε μέσω του AI και σχεδιάστηκε για να τον μιμηθεί σε πραγματικό χρόνο. Πεπεισμένο για την αυθεντικότητα της αλληλεπίδρασης, το προσωπικό ενέκρινε μια σειρά μεταφορών ύψους σχεδόν 25 εκατομμυρίων δολαρίων ΗΠΑ.
Το περιστατικό αυτό αποτελεί μία από τις μεγαλύτερες αναφερθείσες περιπτώσεις κοινωνικής μηχανικής με χρήση του AI κατά τη φάση παράδοσης μιας κυβερνοεπίθεσης. Δείχνει ότι το phishing δεν χρειάζεται πλέον να εξαρτάται από κακοσχεδιασμένα μηνύματα ηλεκτρονικού ταχυδρομείου ή αμφίβολους συνδέσμους. Αντίθετα, το AI επιτρέπει πλέον την ανάπτυξη εξαιρετικά ρεαλιστικών μιμήσεων ήχου και βίντεο που παρακάμπτουν όχι μόνο τους τεχνικούς ελέγχους αλλά και την ανθρώπινη κρίση και εμπιστοσύνη.
-
LLMs για κοινωνική μηχανική και phishing σε κλίμακα - "Διερεύνηση LLMs για την ανίχνευση κακόβουλου λογισμικού: Al-Karaki & Khan 2024)
Το άρθρο περιγράφει τον τρόπο με τον οποίο τα LLM μπορούν να χρησιμοποιηθούν για την αυτοματοποίηση του περιεχομένου phishing, τη δημιουργία πολυμορφικού κακόβουλου λογισμικού και τη δημιουργία αντίπαλων εισροών. -
Κοινωνική μηχανική με AI - "Η σκιά της απάτης: (Yu et al. 2024)
Η έρευνα δείχνει πώς τα μοντέλα διάχυσης και τα LLM καθιστούν το phishing και την πλαστοπροσωπία πιο εξατομικευμένα και πειστικά. Κατηγοριοποιεί την κοινωνική μηχανική με δυνατότητα AI σε "φάσεις 3E" (Enlarging, Enriching, Emerging), υπογραμμίζοντας πώς οι επιτιθέμενοι μπορούν να κλιμακώσουν τις εκστρατείες, να εισάγουν νέους φορείς και να εκμεταλλευτούν νέες απειλές, καθιστώντας την παράδοση κακόβουλων ωφέλιμων φορτίων πιο αποτελεσματική. -
Φωνητική απάτη / phishing AI - "Εξαπάτησα την τράπεζά μου" (Hoover 2025)
Ένα δημοσιογραφικό πείραμα που αποκαλύπτει την ψεύτικη φωνή AI που χρησιμοποιείται για την εξαπάτηση τραπεζικών λογαριασμών.
Εκμετάλλευση
Ο επιτιθέμενος ενεργοποιεί το ωφέλιμο φορτίο για να εκμεταλλευτεί μια ευπάθεια και να αποκτήσει μη εξουσιοδοτημένη πρόσβαση στο σύστημα-στόχο. Αφού διεισδύσει στον οργανισμό, ο εισβολέας χρησιμοποιεί αυτή την πρόσβαση για να κινηθεί πλευρικά μεταξύ των συστημάτων για να βρει σχετικές πληροφορίες (π.χ. ευαίσθητα δεδομένα, πρόσθετες ευπάθειες, διακομιστές ηλεκτρονικού ταχυδρομείου κ.λπ.) και να βλάψει τον οργανισμό.
Πώς το AI αλλάζει την εκμετάλλευση:
Το AI βοηθά τους επιτιθέμενους στον εντοπισμό, την κατανόηση και την εκμετάλλευση των αδυναμιών του συστήματος, αυτοματοποιώντας την ανακάλυψη ευπαθειών (για παράδειγμα, έξυπνο fuzzing και καθοδηγούμενη σάρωση), κατασκευάζοντας δέντρα επιθέσεων και προτείνοντας μονοπάτια εκμετάλλευσης. Μπορεί επίσης να παράγει αντίπαλες εισόδους που παρακάμπτουν εργαλεία ασφαλείας ή εκμεταλλεύονται άμυνες.
Επισημαίνεται η περίπτωση: σκουλήκι Morris II AI
Το 2024, ερευνητές κατέδειξε μια νέα μορφή αυτοδιαδιδόμενου σκουληκιού που δεν βασιζόταν στην εκμετάλλευση συμβατικών τρωτών σημείων λογισμικού. Αντ' αυτού, στόχευε τα ίδια τα συστήματα AI.
Ονομασία Morris II με αναφορά στο διαβόητο Morris Worm του 1988, αυτή η επίθεση απόδειξης του σχεδίου χρησιμοποίησε αντίπαλες προτροπές για να χειραγωγήσει τα μοντέλα AI ώστε να αναπαράγουν και να διανείμουν κακόβουλες εντολές. Μόλις ένα σύστημα "μολυνθεί", το σκουλήκι μπορούσε να παράγει αυτόνομα περαιτέρω προτροπές που προκαλούσαν το AI να αναπαράγει την επίθεση και να τη μεταδώσει σε άλλα μοντέλα.
Σε αντίθεση με τα παραδοσιακά σκουλήκια, τα οποία συνήθως εκμεταλλεύονται κώδικα που δεν έχει επιδιορθωθεί, Morris II εξαπλώνονται εκμεταλλευόμενοι το άνοιγμα και το απρόβλεπτο της γενεσιουργού συμπεριφοράς του AI. Η επίδειξη υπογράμμισε ότι, καθώς οι οργανισμοί ενσωματώνουν όλο και περισσότερο το γενεσιουργό AI στις επιχειρησιακές ροές εργασίας, ενδέχεται να εκθέσουν νέες επιθέσεις όπου η ευπάθεια δεν βρίσκεται στον πηγαίο κώδικα αλλά στα δεδομένα εκπαίδευσης και στις αποκρίσεις του μοντέλου.
-
Αντιδικία και επίθεση AI - "Εκμετάλλευση του AI για επιθέσεις: (Shröer & Pajola 2025)
Η μελέτη περιγράφει τον τρόπο με τον οποίο οι επιτιθέμενοι μπορούν να εκμεταλλευτούν τα τρωτά σημεία των συστημάτων AI μέσω αντίπαλων εισροών ή να χρησιμοποιήσουν το ίδιο το AI ως όπλο για να εξαπολύσουν αποτελεσματικότερες εκμεταλλεύσεις εναντίον παραδοσιακών στόχων, υπογραμμίζοντας τον διπλό ρόλο του AI ως εργαλείου και στόχου στις κυβερνοεπιθέσεις. -
Δυαδικά αντίπαλα δυαδικά προγράμματα κακόβουλου λογισμικού - "Δυαδικά αρχεία κακόβουλου λογισμικού: Kolosnjarski et al. 2018)
Η μελέτη παρουσιάζει επιθέσεις με βάση την κλίση που τροποποιούν λιγότερα από 1% bytes σε εκτελέσιμα αρχεία διατηρώντας τη λειτουργικότητα, αποφεύγοντας με επιτυχία τους ανιχνευτές κακόβουλου λογισμικού βαθιάς μάθησης που εκπαιδεύονται σε ακατέργαστα bytes.
Εγκατάσταση
Ο επιτιθέμενος εγκαθιστά κακόβουλο λογισμικό ή backdoors για να διατηρήσει (κρυφή) μόνιμη πρόσβαση και έλεγχο στο εσωτερικό του συστήματος-στόχου.
Πώς το AI αλλάζει την εγκατάσταση:
Το AI μπορεί να παράγει προσαρμοστικές τεχνικές επιμονής και να προτείνει τους πιο αποτελεσματικούς φορείς εγκατάστασης αναλύοντας τα δεδομένα προηγούμενων σταδίων, αλλά η πλήρης αυτοματοποίηση της διαφοροποιημένης, βαριάς σε αποφάσεις φάσης εγκατάστασης παραμένει περιορισμένη. Όπου εφαρμόζεται, το AI επιτρέπει στο κακόβουλο λογισμικό να τροποποιεί τη συμπεριφορά του για να αποφεύγει τον εντοπισμό και να επιλέγει τον βέλτιστο χρόνο και τα βέλτιστα σημεία εισόδου.
Επισημαίνεται η περίπτωση: Ransomware που μαθαίνει να κρύβεται
Το 2024, ερευνητές εισήγαγε ένα σύστημα γνωστό ως EGAN, ένα μοντέλο AI που αναπτύχθηκε για να διερευνήσει πώς το ransomware μπορεί να χρησιμοποιεί στρατηγικές μάθησης για να αποφύγει την ανίχνευση. Σε αντίθεση με το παραδοσιακό στατικό κακόβουλο λογισμικό, το οποίο είτε εντοπίζεται είτε παραβλέπεται, EGAN λειτουργεί μέσω επαναληπτικού πειραματισμού.
Το σύστημα τροποποιούσε επανειλημμένα τον κώδικα του ransomware, δοκιμάζοντας διαδοχικές παραλλαγές έως ότου παρήγαγε μία που μπορούσε να παρακάμψει τις άμυνες προστασίας από ιούς, διατηρώντας παράλληλα πλήρη λειτουργικότητα. Στην πραγματικότητα, το κακόβουλο λογισμικό "έμαθε" πώς να παρακάμπτει τους μηχανισμούς ανίχνευσης με βάση τις ανωμαλίες που είναι συνήθως αποτελεσματικοί στον εντοπισμό ύποπτης συμπεριφοράς.
Αν και δημιουργήθηκε σε ερευνητικό περιβάλλον, EGAN έδειξε πώς οι μηχανισμοί επιμονής με βάση το AI θα μπορούσαν να καταστήσουν το ransomware σημαντικά πιο δύσκολο να εντοπιστεί και να εξαλειφθεί μετά την ανάπτυξή του. Αντί να εξαρτάται από προκαθορισμένες τεχνικές αποφυγής, το κακόβουλο λογισμικό προσαρμόζεται δυναμικά, δημιουργώντας την προοπτική ενός σχεδόν "μη θανατηφόρου" κακόβουλου λογισμικού.
-
RL-based malware evasion - "Μάθηση για την αποφυγή στατικών μοντέλων κακόβουλου λογισμικού PE με μηχανική μάθηση μέσω ενισχυτικής μάθησης" (Anderson et al. 2018)
Η μελέτη δείχνει πώς οι πράκτορες ενισχυτικής μάθησης μπορούν να τροποποιούν επαναληπτικά το κακόβουλο λογισμικό Windows PE με αλλαγές που διατηρούν τη λειτουργικότητα, ώστε να αποφεύγουν τους στατικούς ανιχνευτές κακόβουλου λογισμικού με μηχανική μάθηση, επιτρέποντας την πλήρως προσαρμοστική εγκατάσταση μόνιμου κακόβουλου λογισμικού.
Διοίκηση και έλεγχος
Αφού αποκτήσει τον έλεγχο πολλαπλών συστημάτων, ο επιτιθέμενος δημιουργεί ένα κέντρο ελέγχου για να τα εκμεταλλεύεται εξ αποστάσεως. Ο επιτιθέμενος εγκαθιστά απομακρυσμένη επικοινωνία με το παραβιασμένο σύστημα, μέσω διαφορετικών καναλιών (π.χ. web, DNS ή email) για να ελέγχει τις λειτουργίες και να αποφεύγει την ανίχνευση. Ο επιτιθέμενος χρησιμοποιεί διάφορες τεχνικές, όπως η απόκρυψη για να καλύψει τα ίχνη του και να αποφύγει την ανίχνευση, ή επιθέσεις άρνησης παροχής υπηρεσιών (DoS) για να αποσπάσει την προσοχή των επαγγελματιών ασφαλείας από τους πραγματικούς στόχους τους.
Πώς το AI αλλάζει τη διοίκηση και τον έλεγχο (C2):
Το AI επιτρέπει πιο συγκαλυμμένες επικοινωνίες C2 με τη δημιουργία κίνησης που μιμείται τη νόμιμη δραστηριότητα, το σχεδιασμό αλγορίθμων δημιουργίας πεδίου αποφυγής και την ενορχήστρωση αποκεντρωμένων, προσαρμοστικών botnets. Μπορεί επίσης να ρυθμίσει τη συμπεριφορά C2 ώστε να αποφύγει τους ανιχνευτές ανωμαλιών.
Επισημαίνεται η περίπτωση: AI-συντονισμένα botnets, σμήνη με δικό τους μυαλό
Το 2023, ερευνητές κατέδειξε μια νέα μορφή botnet που τροφοδοτείται από το AI. Τα συμβατικά botnets βασίζονται συνήθως σε έναν κεντρικό διακομιστή εντολών και ελέγχου (C2), μέσω του οποίου ένας κεντρικός κόμβος εκδίδει οδηγίες που εκτελούν στη συνέχεια οι παραβιασμένες μηχανές ή "bots". Αυτή η αρχιτεκτονική, ωστόσο, μπορεί συχνά να διακοπεί μόλις οι αμυντικοί εντοπίσουν και απενεργοποιήσουν τον κεντρικό διακομιστή.
Το botnet με το AI υιοθέτησε ένα διαφορετικό μοντέλο. Κάθε κόμβος του δικτύου χρησιμοποιούσε ενισχυτική μάθηση για να καθορίσει αυτόνομα πότε να ξεκινήσει επιθέσεις, ποιους στόχους να ακολουθήσει και πώς να προσαρμόσει την τακτική του ως απάντηση στα αμυντικά μέτρα. Αντί να περιμένουν κεντρικές οδηγίες, τα ρομπότ συνεργάζονταν με αποκεντρωμένο τρόπο, λειτουργώντας ως μια μορφή αυτοοργανωμένης κυψέλης.
Αυτός ο σχεδιασμός κατέστησε το botnet πιο ανθεκτικό και πιο δύσκολο να εντοπιστεί. Ακόμη και αν εξουδετερώνονταν ορισμένοι κόμβοι, οι υπόλοιποι μπορούσαν να προσαρμοστούν και να συνεχίσουν να λειτουργούν. Για τους υπερασπιστές, το έργο δεν περιοριζόταν πλέον στη διακοπή λειτουργίας ενός μόνο διακομιστή, αλλά απαιτούσε την αντιμετώπιση ενός κατανεμημένου, προσαρμοστικού σμήνους παραβιασμένων μηχανών.
-
Παραποίηση αρχείων καταγραφής και απόκρυψη ίχνους με βάση το AI - "5 τεχνικές anti-forensics για να ξεγελάσετε τους ερευνητές (+ παραδείγματα & συμβουλές ανίχνευσης)" (CyberJunkie 2023)
Αναφορές το 2024-2025 περιέγραψαν πώς το AI θα μπορούσε να χρησιμοποιηθεί για τη διαγραφή ή την αλλοίωση ψηφιακών αρχείων καταγραφής για την απόκρυψη επιθέσεων από τους ερευνητές, αν και τα πλήρη παραδείγματα στον πραγματικό κόσμο είναι ακόμη σπάνια. -
Παράκαμψη των συστημάτων ανίχνευσης εισβολών στο δίκτυο με βάση το GAN - "NAttack! Adversarial Attacks to bypass a GAN based classifier trained to detect Network intrusion" (Piplai et al. 2020)
Η μελέτη δείχνει πώς οι αντίπαλες επιθέσεις μπορούν να παρακάμψουν επιτυχώς τα εκπαιδευμένα από το GAN συστήματα ανίχνευσης εισβολών, επιτρέποντας στους επιτιθέμενους να μεταμφιέσουν την κυκλοφορία C2 ως κανονική δραστηριότητα δικτύου.
Δράση για τους στόχους
Ο επιτιθέμενος εκτελεί τον απώτερο στόχο του, όπως η διαρροή δεδομένων, η κρυπτογράφηση δεδομένων ή η καταστροφή δεδομένων.
Πώς το AI αλλάζει τη δράση για τους στόχους:
Το AI επιταχύνει και βελτιώνει τις τελικές εργασίες μιας επίθεσης: αυτοματοποιημένη διαρροή δεδομένων, ιεράρχηση περιουσιακών στοιχείων υψηλής αξίας, εξατομικευμένα μηνύματα εκβιασμού και δημιουργία περιεχομένου μεγάλης κλίμακας για παραπληροφόρηση ή διασάλευση. Οι τελικές στρατηγικές αποφάσεις συχνά εξακολουθούν να απαιτούν ανθρώπινη κρίση, αλλά το AI συντομεύει την πορεία προς αυτές τις αποφάσεις.
Επισημαίνεται η περίπτωση: AI, μια ενορχήστρωση ransomware με γνώμονα το AI
Το 2024, ερευνητές του Πανεπιστημίου της Νέας Υόρκης εισήγαγαν PromptLocker, ένα proof-of-concept σύστημα ransomware που ελέγχεται από ένα μεγάλο γλωσσικό μοντέλο. Σε αντίθεση με το συμβατικό ransomware, το οποίο ακολουθεί προκαθορισμένες συμπεριφορές, PromptLocker έπαιρνε αποφάσεις σε πραγματικό χρόνο και αυτοματοποιούσε πολλαπλά στάδια του κύκλου ζωής της επίθεσης. Κατά την επίδειξη το μοντέλο αυτονομήθηκε:
- επιλέγουν τους πιο πολύτιμους στόχους μέσα σε ένα παραβιασμένο σύστημα,
- απομόνωση ευαίσθητων δεδομένων πριν από την κρυπτογράφηση, αυξάνοντας την επιρροή επί των θυμάτων,
- κρυπτογραφημένους τόμους και αρχεία για να αρνηθεί την πρόσβαση
- δημιούργησε εξατομικευμένα σημειώματα λύτρων, προσαρμόζοντας τον τόνο και τις απαιτήσεις στο προφίλ του θύματος (για παράδειγμα, οικονομική δυνατότητα και τομέας).
Αν και η εργασία πραγματοποιήθηκε σε ελεγχόμενο ερευνητικό περιβάλλον, PromptLocker έδειξε πώς η γενετική AI μπορεί να αυτοματοποιήσει και να κλιμακώσει εργασίες που προηγουμένως απαιτούσαν ανθρώπινο σχεδιασμό, επιταχύνοντας έτσι την ικανότητα των επιτιθέμενων να επιτύχουν τους στόχους τους και να προσαρμοστούν στις μεταβαλλόμενες συνθήκες.
-
Παραπληροφόρηση σε κλίμακα από το AI - "Μια φιλορωσική εκστρατεία παραπληροφόρησης χρησιμοποιεί δωρεάν εργαλεία AI για να τροφοδοτήσει μια 'έκρηξη περιεχομένου'" (Gilbert 2025)
Το άρθρο εξηγεί πώς η συνδεόμενη με τη Ρωσία εκστρατεία Operation Overload (2023-2025) χρησιμοποιεί εργαλεία AI για τη μαζική παραγωγή ψεύτικων εικόνων, βίντεο και κλωνοποιημένων φωνών δημόσιων προσώπων. Το υλικό αυτό διαδίδεται ευρέως μέσω δικτύων bot στα μέσα κοινωνικής δικτύωσης για να προωθήσει διχαστικές αφηγήσεις. -
AI-δημιούργησε ψεύτικα κοινωνικά προφίλ για ενίσχυση - "Χαρακτηριστικά και επικράτηση ψεύτικων προφίλ στα μέσα κοινωνικής δικτύωσης με πρόσωπα που δημιουργήθηκαν από AI" (Yang et al. 2024)
Η έρευνα διαπίστωσε πάνω από 1400 λογαριασμούς στο Twitter που χρησιμοποιούσαν εικόνες προφίλ δημιουργημένες από το AI, οργανωμένους σε δίκτυα για την προώθηση απάτης και πολιτικά φορτισμένων μηνυμάτων, με χιλιάδες τέτοιους λογαριασμούς ενεργούς καθημερινά. -
ψεύτικα έγγραφα και ειδησεογραφικά πρακτορεία που δημιούργησε η AI (psyops) - "Τα ψέματα που λέει η Ρωσία στον εαυτό της Οι προπαγανδιστές της χώρας στοχεύουν τη Δύση, αλλά παραπλανούν και το Κρεμλίνο" (Rid 2024)
Το άρθρο εξηγεί πώς μια συνεχιζόμενη εκστρατεία Doppelgänger δημιουργεί πειστικές παραποιημένες εκδόσεις νόμιμων ειδησεογραφικών ιστότοπων και δημοσιεύει άρθρα που δημιουργούνται από το AI για την προώθηση φιλορωσικών αφηγήσεων σε όλη τη Δύση.
Ερωτήσεις για συζήτηση
- Ποιο βήμα της αλυσίδας δολοφονίας στον κυβερνοχώρο είναι πιθανό να μετασχηματιστεί περισσότερο από το AI στο μέλλον και γιατί; Και επί του παρόντος, σε ποιο στάδιο το AI προσφέρει τα πιο ελπιδοφόρα αποτελέσματα για τους επιτιθέμενους; Σε ποιο στάδιο η εφαρμογή του AI φαίνεται λιγότερο αποτελεσματική και πολλά υποσχόμενη;
- Το AI κλίνει το πλεονέκτημα στον κυβερνοχώρο περισσότερο προς τους επιτιθέμενους ή τους αμυνόμενους;
- Η ευρεία πρόσβαση στο AI θα εξισορροπήσει το πεδίο ανταγωνισμού για τους ερασιτέχνες ή θα ενισχύσει κυρίως τους αντιπάλους με καλά μέσα;
- Πώς η ικανότητα του AI να αυτοματοποιεί και να επιταχύνει την αλυσίδα εξόντωσης στον κυβερνοχώρο αλλάζει τη φύση των κυβερνοεπιθέσεων;
- Θα μπορούσε το AI να καταστήσει τις επιθέσεις τόσο γρήγορες και προσαρμοστικές που τα παραδοσιακά αμυντικά πλαίσια να καταστούν παρωχημένα;
- Ποιος φέρει την ευθύνη όταν τα μοντέλα AI χρησιμοποιούνται καταχρηστικά για κυβερνοεπιθέσεις: οι προγραμματιστές, οι φορείς ανάπτυξης ή οι επιτιθέμενοι;
- Πώς μπορούν οι υπεύθυνοι χάραξης πολιτικής να ρυθμίσουν την επιθετική AI χωρίς να καταπνίξουν την καινοτομία σε αμυντικές ή πολιτικές εφαρμογές;
- Θα ωθήσει το AI τις συγκρούσεις στον κυβερνοχώρο προς έναν πιο αυτόνομο πόλεμο "μηχανή εναντίον μηχανής";
- Θα μπορούσε το AI να αλλάξει ριζικά το μοντέλο της αλυσίδας δολοφονίας στον κυβερνοχώρο σε κάτι μη γραμμικό και συνεχώς προσαρμόσιμο;
