Το XLoader malware αναλύθηκε με βοήθεια του ChatGPT

Το XLoader παραμένει μία από τις πιο επικίνδυνες οικογένειες malware που αντιμετωπίζουν οι ερευνητές κυβερνοασφάλειας. Αυτός ο εξελιγμένος information-stealing loader εμφανίστηκε το 2020 ως rebrand του FormBook και έχει εξελιχθεί σε μια ολοένα και πιο περίπλοκη απειλή.

Ο κώδικας του κακόβουλου λογισμικού αποκρυπτογραφείται μόνο κατά την εκτέλεση και προστατεύεται πίσω από πολλαπλά στρώματα κρυπτογράφησης, το καθένα κλειδωμένο με διαφορετικά κλειδιά κρυμμένα σε όλο το binary. Ακόμη και τα αυτοματοποιημένα εργαλεία ανάλυσης sandbox δυσκολεύονται να αντιμετωπίσουν τις επιθετικές τεχνικές αποφυγής του XLoader, που μπλοκάρουν την κακόβουλη εκτέλεση όταν εντοπίζονται εικονικά περιβάλλοντα.

Δείτε επίσης: Κακόβουλες διαφημίσεις για τα PuTTY και Teams διανέμουν malware

Ανάλυση XLoader με τη βοήθεια του generative AI (ChatGPT)

Οι ερευνητές της Check Point αναγνώρισαν μια πρωτοποριακή προσέγγιση για την ανάλυση του XLoader, αξιοποιώντας το generative AI. Το τελευταίο δείγμα της έκδοσης 8.0 του XLoader παρουσίασε σημαντικά εμπόδια με προσαρμοσμένα σχήματα κρυπτογράφησης, obfuscated API calls και εκτεταμένες τεχνικές αποφυγής sandbox. Οι δημιουργοί του κακόβουλου λογισμικού κυκλοφορούν νέες εκδόσεις τακτικά, αλλάζοντας εσωτερικούς μηχανισμούς και προσθέτοντας μεθόδους αντι-ανάλυσης που καθιστούν την προηγούμενη έρευνα ανεπαρκή.

Η έρευνα έδειξε πώς το ChatGPT επιτάχυνε το στατικό reverse engineering από μέρες σε ώρες. Εξάγοντας τα περιεχόμενα της βάσης δεδομένων IDA Pro και αναλύοντάς τα μέσω τεχνητής νοημοσύνης που βασίζεται στο cloud, οι ερευνητές έδειξαν ότι η βαθιά ανάλυση μπορούσε να προχωρήσει χωρίς τη διατήρηση live disassembler sessions. Αυτή η προσέγγιση μείωσε την ανάγκη για εξάρτηση από βαριά τοπικά εργαλεία, με τα αποτελέσματα να μπορούν να αναπαραχθούν και να μοιραστούν ευκολότερα.

Δείτε επίσης: Open VSX: Αντιμετωπίζει διαρροές Tokens και κακόβουλες επεκτάσεις

Τι έδειξαν τα στοιχεία για την έκδοση 8.0 του XLoader

Η έκδοση 8.0 του XLoader εφαρμόζει εξελιγμένους μηχανισμούς προστασίας μέσω ενός ενσωματωμένου crypter που κρύβει το κύριο payload σε δύο γύρους κρυπτογράφησης RC4. Το πρώτο στρώμα εφαρμόζει αποκρυπτογράφηση RC4 σε ολόκληρο το buffer, ακολουθούμενο από ένα δεύτερο pass που επεξεργάζεται 256-byte chunks χρησιμοποιώντας διαφορετικό κλειδί. Κάθε γύρος κρυπτογράφησης απαιτεί συγκεκριμένα κλειδιά που προέρχονται μέσω σύνθετων αλγορίθμων διασκορπισμένων σε πολλαπλές λειτουργίες.

Οι αναλυτές της Check Point σημείωσαν ότι το κύριο payload υποβάλλεται σε αυτό το σχήμα κρυπτογράφησης δύο επιπέδων, με τα Stage-1 και Stage-2 keys να υπολογίζονται μέσω ξεχωριστών διαδικασιών παραγωγής.

Δείτε επίσης: Νέα εκστρατεία TruffleNet BEC αξιοποιεί το AWS SES

Το Stage-1 key (20EBC3439E2A201E6FC943EE95DACC6250A8A647) και το Stage-2 key (86908CFE6813CB2E532949B6F4D7C6E6B00362EE) εξήχθησαν με επιτυχία μέσω ανάλυσης με τεχνητή νοημοσύνη σε συνδυασμό με debugging validation κατά την εκτέλεση. Η πλήρης διαδικασία αποσυμπίεσης, που παραδοσιακά καταναλώνει μέρες χειροκίνητου reverse engineering, συμπιέστηκε σε περίπου 40 λεπτά, προσφέροντας στους υπερασπιστές πιο φρέσκους δείκτες παραβίασης.