Хакери използват генеративен изкуствен интелект за създаване на персонализиран зловреден софтуер и заобикаляне на традиционната защита

Хакери използват генеративен изкуствен интелект, за да създават персонализиран зловреден софтуер, да пренаписват злонамерени скриптове и да правят фишинг съобщенията по-трудни за засичане.

Тази промяна оказва натиск върху инструментите за сигурност, които разчитат основно на известни файлови сигнатури, като същевременно помага на операторите на рансъмуер да преминават по-бързо от първоначалната опорна точка до кражбата на данни и криптирането.

Опасността не се състои в това, че всяка генерирана от ИИ програма избягва засичането. По-скоро атакуващите могат да произвеждат непознат код много по-бързо, намалявайки стойността на правилата за засичане, изградени около по-стари образци.

В същото време подобрената езикова поддръжка помага на техните фалшиви имейли и уебсайтове да се слеят с нормалната бизнес комуникация, което прави познатите предупредителни признаци по-малко надеждни.

Изследователи от Zscaler отбелязват тези промени в анализ на базиран на ИИ рансъмуер, публикуван на 16 октомври 2026 г. Докладът, чийто автор е водещият изследовател по информационна сигурност Фил Хейгън, описва как атакуващите използват ИИ в социалното инженерство, откриването на данни и разработването на зловреден софтуер.

Той разглежда по-широки методи, вместо да идентифицира новоименувано семейство зловреден софтуер или конкретна потвърдена кампания.

Хакерите използват генеративен ИИ

Традиционните продукти за сигурност често сравняват файловете и мрежовия трафик с известни модели. Тези сигнатури остават полезни за разпознаване на познати заплахи, но техните ограничения стават все по-явни, когато атакуващите непрекъснато променят кода, който води до същия вредоносен резултат.

От Zscaler посочват, че генеративният ИИ прави тези промени по-бързи и по-лесни за осъществяване. Атакуващите могат също така да създават собствени инструменти, вместо да разчитат на широко използвани програми, които защитниците вече следят.

Свързани доклади за ИИ агенти, автоматизиращи кибератаки, описват как генерирането на код и многократното компилиране могат да съкратят работните процеси на атаката. За защитниците непознатият инструментариум означава по-малко надеждни съвпадения с предварително събрани образци.

Това също така усложнява усилията за установяване на извършителя на атаката. В миналото персонализираният зловреден софтуер предполагаше достъп до опитни разработчици или значително финансиране.

Zscaler предупреждава, че леснодостъпните езикови модели вече предоставят на по-малките рансъмуер групи подобни възможности за разработка, превръщайки уникалните инструменти в по-слаба следа при оценката на ресурсите или самоличността на атакуващия.

Разликата между разработка с помощта на ИИ и зловреден софтуер, който използва ИИ по време на изпълнение, е от съществено значение. Zscaler описва бързо създаване и ревизиране на скриптове, а не доказателство, че всеки злонамерен код се пренаписва самостоятелно в реално време.

Анализите на зловреден софтуер, който се пренаписва сам, изследват това отделно направление, при което променящият се код може допълнително да отслаби проверките, базирани на фиксирани файлови сигнатури.

По-ефективен фишинг и по-бърза кражба на данни

Атаката често започва преди изпълнението на какъвто и да е персонализиран зловреден софтуер. Генеративният ИИ може да помогне на киберпрестъпниците да пишат ясни имейли, да създават убедителни уебсайтове и да комуникират естествено на езика на жертвата.

Това намалява явните правописни и граматически грешки, които много служители са обучени да разпознават като признаци на фишинг. Zscaler също така описва фишинг съобщения, които убеждават потребителите да стартират софтуер за дистанционно наблюдение и управление (RMM).

Тези инструменти имат легитимно бизнес предназначение, но атакуващите могат да злоупотребят с предоставения достъп, за да поемат контрол над компютъра на жертвата и потенциално да достигнат до други системи. По този начин първоначалната измама може да отвори път отвъд границите на едно-единствено устройство.

Уеб съдържанието създава друго предизвикателство. Изследвания на злонамерени уеб страници, генерирани от GenAI, показват как код, създаден след зареждането на страницата, може да промени съдържанието, с което потребителите се сблъскват.

Тази браузърна техника е отделна от анализа на Zscaler, но тя илюстрира защо преглеждането само на първоначалното съдържание на дадена страница може да пропусне вредоносно поведение, което се проявява на по-късен етап.

Веднъж проникнали в мрежата, атакуващите могат да използват ИИ за търсене и класифициране на големи обеми достъпна информация. Zscaler посочва, че това им помага да локализират ценни данни за кражба или криптиране много по-бързо от традиционните скриптове и методи.

По-бързото откриване на чувствителни данни може да увеличи натиска върху жертвите при искане на откуп или заплахи за публично разгласяване.

Основният проблем е съкратеният прозорец за реакция. По-бързото разузнаване и разработката на персонализирани скриптове оставят на защитниците по-малко време да свържат подозрителната дейност, преди файловете да бъдат откраднати или криптирани.

Поради това засичането трябва да взема предвид какво извършва дадена програма, а не просто дали нейният файл съвпада с известен зловреден образец. Zscaler посочва базираното на ИИ засичане, консолидираните данни за сигурност и по-бързото разследване като ефективни защитни мерки.

Докладът описва механизми за контрол, насочени към фишинг сайтове, командна инфраструктура на атакуващите, подозрително браузърно съдържание и реакция при инциденти с рансъмуер. Това са възможности, описани от доставчика, а не доказателство, че един-единствен продукт може да спре всяка атака, подпомогната от ИИ.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са умишлено деактивирани (напр. [.]), за да се предотврати случайно разрешаване на имена или отваряне на хипервръзки. Активирайте ги отново само в контролирани платформи за анализ на заплахи като MISP, VirusTotal или вашата SIEM система.