Nová generácia malvéru: Keď AI pomáha kyberzločincom

03. 09. 2025| Pietro Dubsky

Anatómia moderného AI-asistovaného útoku

Nedávno zachytený phishingový e-mail predstavuje ukážkový príklad tejto novej generácie hrozieb. Na prvý pohľad ide o bežnú obchodnú korešpondenciu – objednávku od českej firmy Nexa Tools and Equipment s.r.o. s adresou na Vinohradskej v Prahe 3. E-mail obsahuje profesionálne napísaný český text, legitímne kontaktné údaje a prílohu s objednávkou.

Realita je však iná. Ide o starostlivo skonštruovaný phishingový útok, ktorý kombinuje niekoľko pokročilých techník:

1. Perfektný social engineering

E-mail využíva klasické techniky sociálneho inžinierstva, ale na výnimočne vysokej úrovni:

Legitímna firemná identita s realistickou adresou a telefónnymi číslami
Urgentný biznis kontext – žiadosť o rýchle potvrdenie objednávky
Česká lokalizácia vrátane mena „Marek Novák" a pražskej adresy
Profesionálny vzhľad zodpovedajúci štandardnej obchodnej korešpondencii

2. Technické maskovanie

Útočníci použili niekoľko vrstiev technického maskovania:

Nesúlad odosielateľa: pole From ukazuje Marek.Novak@outlook.com, ale skutočná adresa je office@pinehurstrnfg.com
DKIM podpis: falošná autentifikácia na zvýšenie dôveryhodnosti
Doménový spoofing: registrácia domény pinehurstrnfg.com špecialne pre túto kampaň

3. Multi-stage payload

Príloha obsahuje 7-Zip archív s JavaScript súborom. Tento prístup má niekoľko výhod:

Obídenie e-mailových filtrov: komprimované súbory sa horšie skenujú
Menšia veľkosť: 17 KB je pod limitmi väčšiny e-mailových serverov
Legitímny formát: .7z nevzbudzuje toľko podozrenia ako .exe

Kde prichádza AI do hry

Pri analýze JavaScript kódu v prílohe sa objavujú charakteristické znaky, ktoré naznačujú využitie umelej inteligencie:

Maskovací obsah

Malvér obsahuje stovky riadkov zmysluplných komentárov, ktoré nemajú žiadnu súvislosť s funkcionalitou kódu:

//Radiostationer monospore coffined svanekniv
//Miljplanens elementarladnings stemmespildets
//Skdebrn serigraphic fljet katanker
//Svigerfdre megalichthyidae nonexerciser

Tieto komentáre slúžia ako maskovacia vrstva a ich rozsah a kvalita naznačujú AI generovanie. Ľudský programátor by nevložil také množstvo irelevantného, ale gramaticky správneho textu.

Systematická obfuskácia

Kód používa konzistentnú substitučnú techniku, kde sa reťazec „Srinks" nahrádza inými znakmi na deobfuskáciu skutočných príkazov. Táto technika je aplikovaná systematicky naprieč celým kódom, čo je typické pre automatizovanú produkciu.

Hybridná architektúra

Štruktúra malvéru naznačuje kombináciu:

AI generovaný maskovací obsah: komentáre, obfuskačné vrstvy
Ľudská expertíza: funkčný malvérový kód, PowerShell payload, volania Windows API
Automatizovaná diverzifikácia: polymorfné variácie na obídenie detekcie

Prečo tradičná ochrana zlyháva

Táto nová generácia malvéru predstavuje výzvu pre tradičné bezpečnostné riešenia z niekoľkých dôvodov:

E-mailové filtre

Spamové filtre ako SpamAssassin majú problém s:

Legitímnym vzhľadom: e-mail vyzerá ako štandardná obchodná korešpondencia
Absenciou známych vzorcov: AI generovaný obsah neobsahuje typické spamové indikátory
Obfuskáciou: maskovacie techniky skrývajú skutočný účel
Lokalizáciou: české texty môžu zmiasť filtre natrénované na angličtine

Antivírusy

Tradičné antivírusy zlyhávajú kvôli:

Novým signatúram: každý AI-generovaný variant vyzerá inak
Fileless technikám: kód sa spúšťa v pamäti bez ukladania na disk
Living-off-the-land: využívanie legitímnych nástrojov (PowerShell, WScript)
Multi-stage payloadom: skutočný malvér sa sťahuje až pri spustení

Behaviorálna detekcia

Dokonca aj pokročilá behaviorálna detekcia má problémy s:

Postupnou aktiváciou: malvér sa aktivuje vo viacerých fázach
Legitímnymi API volaniami: používa štandardné funkcie Windows
Delayed execution: dlhé oneskorenie medzi spustením a škodlivou aktivitou

Technický rozbor útoku

Fáza 1: Doručenie e-mailu

E-mail prechádza štandardnými filtrami vďaka legitímnemu vzhľadu a DKIM podpisu.

Fáza 2: Interakcia používateľa

Používateľ extrahuje a spustí JavaScript súbor z archívu.

Fáza 3: Lokálna príprava

var klaneren = Konge202.ExpandEnvironmentStrings("%APPDATA%") + '\\Waster';
function Afka217(Delagt, Revoltu) {
    var Ignom = new ActiveXObject("Scripting.FileSystemObject");
    var Folkefl = Ignom.CreateTextFile(Delagt, true); 
    Folkefl.Write(Revoltu);
    Folkefl.Close();
}

Kód vytvorí súbor Waster v zložke %APPDATA% s ďalším obfuskovaným PowerShell payloadom.

Fáza 4: Vykonanie PowerShellu

$filmstje=$env:appdata+'\\Waster';
$Headlongwi=(Get-Item $filmstje).OpenText().ReadToEnd();
$befng=$Headlongwi[4236..4238] -join '';
.$befng $Headlongwi

PowerShell prečíta súbor, extrahuje príkaz (pravdepodobne iex – Invoke-Expression) a spustí zvyšok ako kód.

Fáza 5: Sieťová komunikácia

Finálny payload pravdepodobne stiahne ďalší malvér z internetu a zaistí perzistenciu v systéme.

Reálne nebezpečenstvá

Okamžité riziká

Krádež prihlasovacích údajov z prehliadačov a aplikácií
Nasadenie ransomvéru na šifrovanie súborov
Kryptojacking – ťažba kryptomien na pozadí
Vzdialený prístup pre útočníkov (backdoor)

Dlhodobé následky

Perzistencia – malvér prežije reštart systému
Lateral movement – šírenie po firemnej sieti
Exfiltrácia dát – krádež citlivých dokumentov
Botnet enrollment – zaradenie do botnetovej siete

Biznis dopad

Výpadok systémov kvôli infekcii alebo čisteniu
Reputačná škoda pri úniku zákazníckych dát
Regulačné pokuty za porušenie GDPR/NIS2
Finančné straty z výkupného alebo obnovy systémov

Obranné stratégie proti AI-asistovaným útokom

Okamžité opatrenia

E-mailová bezpečnosť:

Implementujte sandboxing pre všetky prílohy
Blokujte JavaScript súbory v prílohách
Nastavte DMARC/SPF/DKIM kontroly striktnejšie
Školte používateľov rozpoznávať encoding chyby v e-mailoch

Ochrana koncových bodov:

Aktivujte PowerShell logging a monitoring
Implementujte application whitelisting
Nastavte behaviorálnu analýzu podozrivých aktivít
Monitorujte vytváranie súborov v zložkách %APPDATA%

Dlhodobé stratégie

AI-powered obrana:

Využite machine learning na detekciu anomálií
Implementujte NLP analýzu na detekciu AI-generovaného obsahu
Nasaďte behaviorálne profilovanie používateľov a systémov

Vzdelávanie používateľov:

Školte zamestnancov v rozpoznávaní sociálneho inžinierstva
Vytvorte procesy hlásenia incidentov
Vykonávajte pravidelné phishingové simulácie
Zdôraznite overovanie neočakávaných žiadostí

Technický hardening:

Implementujte zero-trust architektúru
Segmentujte sieť pomocou mikrosegmentácie
Nastavte nepretržité monitorovanie všetkých systémov
Vytvorte plány reakcie na incidenty

Budúcnosť AI v kybernetických útokoch

Trend využívania AI v malvéri sa bude len zintenzívňovať. Očakávame:

Kratšie časové úseky

Rýchlejšie iterácie nových variantov malvéru
Real-time adaptácia na detekčné mechanizmy
Personalizované útoky podľa cieľovej osoby/firmy

Väčšia sofistikovanosť

Deep fake technológie v sociálnom inžinierstve
Pokročilé jazykové modely na dokonalú lokalizáciu
Autonómny penetration testing na reconnaissance

Širšia dostupnosť

Malware-as-a-Service platformy s AI schopnosťami
Demokratizácia pokročilých techník pre menej technických zločincov
Nižšia vstupná bariéra pre kybernetickú kriminalitu

Záver

AI-asistovaný malvér reprezentuje zásadný posun v kybernetickej bezpečnosti. Tradičné prístupy založené na signatúrach a statických pravidlách už nestačia (taktiky a techniky útočníkov systematicky mapuje framework MITRE ATT&CK). Obrana musí byť rovnako inteligentná a adaptívna ako útoky.

Kľúčom je vrstvená bezpečnosť kombinujúca technické opatrenia s ľudským faktorom. Žiadne technické riešenie nie je dokonalé – vzdelaní používatelia zostávajú najdôležitejšou líniou obrany.

Organizácie, ktoré neprispôsobia svoje bezpečnostné stratégie tejto novej realite, sa stanú ľahkými cieľmi pre čoraz sofistikovanejšie útoky. Čas konať je teraz.