Araştırmacılar, Cylance'ın AI (Yapay Zeka) Tabanlı Antivirüsünü , zararlı yazılımı iyi yazılım olarak göstererek kandrımayı başardı. Bunu şu şekilde gerçekleştirdiler, çevrimiçi bir oyun programından dizeler alarak bunları kötü amaçlı dosyalara eklediler, Cylance'ın AI tabanlı antivirüs motorunu, WannaCry gibi programların ve diğer kötü amaçlı yazılımların zararsız olduğuna ikna ettiler.
Yapay zeka, güvenlik camiasından bazıları tarafından kötü amaçlı yazılım tespitinde sihirli değnek olarak lanse edildi. Savunucuları, yeni varyantları ve daha önce hiç görülmemiş kötü amaçlı yazılımları yakalayabildiği için geleneksel antivirüsten üstün olduğunu söylüyor. Mesela En büyük savunucularından biri, AI (yapay zeka) yi Zararlı algılama sistemi motoruna yerleştiren güvenlik firması BlackBerry Cylance, şirketin yeni kötü amaçlı dosyaları, yazarları onları oluşturmadan iki yıl önce tespit etme yeteneğine sahip olduğunu söyledi. .
Ancak Avustralya'daki araştırmacılar, PROTECT'teki makine öğrenimi algoritmasını atlatmanın bir yolunu bulduklarını ve bunun zaten bilinen kötü amaçlı yazılımları yanlış bir şekilde "iyi yazılım" olarak etiketlemesine neden olduklarını söylüyorlar. Yöntem, bilgisayar korsanlarının genellikle tespit edilmekten kaçınmak için yaptığı gibi kötü amaçlı kodu değiştirmeyi içermiyor. Bunun yerine, araştırmacılar Cylance motorunu kandırmak için neredeyse tüm kötü amaçlı yazılımlarla çalışan bir "küresel baypas" yöntemi geliştirdiler. Basitçe kötü niyetli olmayan bir dosyadan kodlar aldılar ve bunları zararlı bir dosyaya eklediler, böylece sistem dosyanın zararsız olduğunu düşündü.
Araştırmacılar , 2017 yılında dünyanın dört bir yanındaki hastaneleri ve işletmeleri felce uğratan WannaCry fidye yazılımına ve daha yeni Samsam fidye yazılımına ve diğer bilinen yüzlerce kötü amaçlı dosyaya bu kodları ekleyerek test ettiler ve neredeyse tüm durumlarda, Cylance motorunu kandırabildiler.
Kötü amaçlı yazılım tespit programlarının testlerini ve incelemelerini yapan Virus Bulletin editörü Martijn Grooten, tersine mühendislik araştırmasını etkileyici ve teknik olarak ilginç olarak nitelendirdi, ilaveten sonuçlar , kendi başına yapay zekaya güvenemeyeceğinizi gösteriyor…. AI sihirli bir değnek değildir….dedi
Cylance's PROTECT, yapay zeka kullanan tek güvenlik ürünü değil. Symantec, Crowdstrike ve Darktrace gibi diğer firmalar da bunu kullanıyor,
Cylance'ın kurucusu ve baş bilim adamı Ryan Permeh'e göre, bir dosyanın kötü niyetli mi yoksa zararsız mı olduğunu belirlemek için Cylance motoru 4 milyon farklı özelliğe veya veri noktasına bakıyor. Bunlar dosyanın boyutu, mevcut yapısal öğeler ve entropi (rastgelelik düzeyi) gibi şeyleri içerir. Cylance programcıları daha sonra motoru yaklaşık bir milyar kötü niyetli ve zararsız dosya göstererek "eğitiyor" ve tespitini geliştirmek için sistemde ince ayarlar yapıyor. Ancak eğitim sırasında, sistem, yeni kötü amaçlı yazılımların nasıl olableceğini tahmin etmek için kötü amaçlı yazılım varyantlarının zaman içinde nasıl geliştiğini görmek için dosyaları da inceliyor - esasen kötü amaçlı yazılım yazarlarının bunu yapmadan önce ne yapacaklarını "tahmin ediyor". Permeh, modellerin yeniden eğitildiğini söylüyor fakat kullanıcılar en yeni özellikleri ve performans iyileştirmelerini istiyorlarsa yazılımlarını güncellemeleri gerekiyor.
Cylance programının bir kopyasını satın aldılar , programın kaç özelliği analiz ettiğini gördüklerinde, başlangıçta algoritmanın karar sürecinde en fazla ağırlığı taşıyan kriterleri bulmalarının haftalar veya aylar alacağından endişelendiler. Ta ki, Cylance'ın yasal yazılım üzerinde yanlış pozitifleri (False Positive) tetiklemekten kaçınmak için bazı çalıştırılabilir dosya ailelerini beyaz listeye aldığını keşfedinceye kadar.
Cylance sistemi, her dosyayı analiz eder ve dosyaya -1.000 ila 1.000 arasında değişen bir puan atar (-1.000, en çok veya en kötü kötü amaçlı özelliklere veya veri noktalarına sahip bir dosyadır). Puanlar programın günlük dosyasında görülebilir.
Makine öğreniminin bu beyaz listedeki dosyalardaki koda karşı önyargılı olabileceğinden şüphelenerek, Cylance'ın beyaz listeye eklediği çevrimiçi bir oyun programından dizeleri çıkarıp Zararlı dosyalara eklediler. Cylance motoru, dosyaları iyi olarak etiketledi ve puanlarını yüksek negatif sayılardan yüksek pozitif sayılara çevirdi. Mimikatz'ın puanı -799'dan 998'e çıktı. WannaCry -1000'den 545'e çıktı.
Dosyaları sadece statik Cylance programına karşı çalıştırmadılar - Antivirüsün, Zararlı dosyaları çalışırken yakalayıp yakalayamayacağını görmek için, üzerinde Cylance PROTECT'in çalıştığı sanal bir makinede Zararlı dosyaları çalıştırdılar. Teori, ürün beyaz listedeki kodlar tarafından kandırılsa bile, dosyanın kötü niyetli eyleminin Cylance tarafından yine de tespit edileceğiydi, ancak Edilmedi.
Araştırmacılar ; Bir yapay zeka programında beyaz listenin kullanılmasının tuhaf olduğunu, ancak yanlış pozitiflerden kaçınmak için unun uygulandığını gördüklerini söylediler.
Cylance'ın makine öğrenimi motorunun da mimarı olan Permeh, ürünlerinde imzalar ve sabit kodlu buluşsal yöntemler kullandıklarını ve tamamen makine öğrenimine güvenmediklerini, ancak AI'nın algılamada öncelik taşıdığını söyledi ilaveten araştırmacıların bulduğu türden baypas potansiyelini kabul etti.
Kaynak:
https://www.vice.com/en/article/9kxp83/ ... s-goodware
