Künstliche Intelligenz in der Malware-Branche
Wie Angreifer KI nutzen könnten
Als Gesellschaft nutzen wir künstliche Intelligenz (KI) bereits in einer Vielzahl von Bereichen: Spracherkennung, Wortvervollständigung, Biometrie, ML-Plattformen (maschinelles Lernen) und vieles mehr. Mittlerweile ist KI auch in der Malware-Branche angekommen. Sicherheitsforscher gehen davon aus, dass diejenigen, die nun KI in Umlauf bringen, die Wahl haben: KI verantwortungsvoll nutzen oder ihre Entwicklung um jeden Preis beschleunigen? Darüber sollte man nachdenken, bevor Cyberkriminelle es tun.
Was passiert, wenn jemand herausfindet, wie man KI-Anwendungen missbraucht? In den letzten Jahren haben wir erlebt, wie der Markt für das Internet der Dinge (IoT) - unter anderem etwa in Form von Smart-Home-Assistenten - förmlich explodierte und damit die Aufmerksamkeit der Cyberkriminellen weckte. Diese erkannten schnell, dass sie mit geringem Aufwand in Heimnetze eindringen können. Denn die meisten der gängigen IoT-Geräte werden ohne Privatsphäre- oder Sicherheitseinrichtungen ausgeliefert.
Ein Blick in die jüngere Vergangenheit hilft zu verstehen, wie Angreifer KI und ML für kriminelle Zwecke nutzen könnten: In den letzten 20 Jahren haben Sicherheitsforscher massive Zwischenfälle durch die Einführung von Neuerungen wie Touch-Technologie, Social Media, Smartphones und sogar MP3 erlebt. In allen Fällen folgten auf die erste freudige Adaption neuer Technik zeitnah Beispiele für deren Missbrauch.
Es lohnt sich deshalb, zunächst einen Blick darauf zu werfen, wie KI und ML heute zum Einsatz kommen, welchen Nutzen sie bringen und welche Missbrauchsmöglichkeiten wir in naher Zukunft zu erwarten haben. Nur so können Entwickler, Sicherheitsexperten und Organisationen KI verantwortungsbewusst integrieren, um sich vor Angriffen zu schützen.
KI und ML in der IT-Sicherheit
Die IT-Sicherheitsbranche benötigt eine technische Lösung, um der wachsenden Zahl neuer Malware-Varianten zu begegnen, die täglich auftreten. Die Bedrohungslandschaft ändert sich rasant, während es allgegenwärtig an qualifizierten IT-Mitarbeitern und Malware-Analysten mangelt. Hier kann KI-gestützte Technik Prozesse anstoßen und automatisieren, für die der Mensch deutliche länger brauchen würde. Die Verwendung von KI in IT-Sicherheitslösungen ist nicht nur zur Zusammenstellung von Malware-Samples für Erkennungs-Engines von Vorteil: Sie erleichtert es auch, intelligente Analysemechanismen zu etablieren, die zukünftige Versionen einer Malware oder Varianten einer Malware-Familie erfassen können. Indem KI Bedrohungsvarianten evaluiert, zusammenfasst und alltägliche Aufgaben skaliert, ermöglicht sie es Sicherheitsforschern, sich auf eine tiefere Analyse interessanterer, neuartiger Bedrohungen zu konzentrieren.
KI-gestützte Automatisierung hilft Unternehmen, Bedrohungen mit verbesserten Erkennungsfunktionen zu bekämpfen, indem Sicherheitsprodukte Malware und andere Bedrohungen besser identifizieren, isolieren und beseitigen können, ohne dabei IT-Ressourcen belasten zu müssen. Deshalb nutzen führende Sicherheitsanbieter ML zur Anomalieerkennung: Damit lassen sich Bedrohungen identifizieren, die über das hinausgehen, was die anderen Technologieschichten erkennen. Dies bildet die Basis zum Beispiel für Anti-Ransomware oder die Blockierung bösartiger Websites. Ein Beispiel aus der Praxis: Malwarebytes erkannte von Januar bis Mai 2019 in insgesamt 94 Millionen Fällen Schadsoftware, die sich weder als PUP (potenziell unerwünschte Programme) noch als Adware einordnen ließen. Davon entdeckte man die Malware in rund 4,5 Millionen Fällen mittels ML-basierter Anomalieerkennung.
Bedenken beim KI/ML-Einsatz
Eines der Hauptprobleme von KI ist die Stabilität. Während KI meist eine sinnvolle Ergänzung zu Sicherheitslösungen ist, kann eine fehlerhafte Implementierung zu unbefriedigenden Ergebnissen führen. Der Einsatz von KI und ML in der Malware-Detektion erfordert eine ständige Feinabstimmung. Wenn das Geflecht eines neuronalen Netzes zu breit angelegt ist, kann Malware der Erkennung entgehen; ist es zu fein, löst die Sicherheitslösung ständig Fehlalarm aus. Zugleich verfügt heutige KI nicht über das notwendige Wissen, um gutartige Dateien zu ignorieren, die nicht den erwarteten Mustern entsprechen.
Mit der überfallartigen Einführung von KI in der Sicherheitstechnologie erwächst für Cyberkriminelle die Chance, die Schwächen der derzeit eingesetzten KI gegen die Sicherheitsanbieter und deren Nutzer zu verwenden. Sobald Bedrohungsakteure herausgefunden haben, wonach ein Sicherheitsprogramm sucht, können sie Lösungen finden, um die Erkennung zu umgehen und den Einsatz ihrer bösartigen Dateien geheim zu halten.
Ein weiteres Feld, in dem man den Einsatz von KI und ML beobachten kann, ist das Social Engineering, insbesondere im Bereich Fake News. Hier stehen vor allem Deepfakes im Fokus, also Videos von echten Menschen, die man mittels künstlicher Intelligenz verfälscht hat. KI-Algorithmen sind heute bereits in der Lage, Mund und Gesicht aufeinander abzustimmen, um gesprochene Worte zu synchronisieren. Das Ergebnis ist dann zum Beispiel ein "Face Swap": Der Fälscher eines Videos montiert den Kopf einer Person auf den Körper einer anderen Person - so perfekt, dass das menschliche Auge diese Manipulation nicht bemerkt.
Deepfakes könnten für Hilfsmittel für unglaublich überzeugende Spear-Phishing-Angriffe dienen, die für den Benutzer kaum als solche zu identifizieren wären. Man stelle sich zum Beispiel vor, man erhält einen Videoanruf vom Chef, der sagt, man müsse für eine Geschäftsreise die Summe X auf ein Konto überweisen, das Unternehmen werde sie später zurückerstatten. Laut dem Jahresbericht der Sicherheitsfirma Mimecast nehmen Angriffe, die auf Imitationen basieren, bereits zu: Etwa zwei Drittel der Unternehmen verzeichneten in den letzten zwölf Monaten einen Anstieg von Imitationsangriffen. Von den Opfern erlitten 73 Prozent einen direkten Schaden.
KI in Malware
Es gibt derzeit noch keine konkreten Beispiele für KI-fähige Malware. Doch einige Szenarien sind realistisch: Denkbar sind Würmer, die eine Aufdeckung umgehen, indem sie aus jeder Erkennung lernen. Sobald eine solche Familie von Würmern herausfindet, was sie entdeckt hat, wird sie dieses Verhalten oder diese Eigenschaft beim nächsten Infektionsversuch vermeiden. Wenn der Code bekannt wurde, könnten Wurmautoren den Code ändern. Ist sein Verhalten identifiziert, könnten sie den Regeln zur Abwehr der Mustererkennung zufällige Variationen hinzufügen. Bei Trojanern wiederum gibt es bereits Varianten wie Swizzor, die ständig neue Dateiversionen von sich selbst erzeugen, um Erkennungsroutinen zu täuschen. Die Verbesserung dieser Methode per KI ist nicht so weit hergeholt, wie man denken könnte.
Als Fallstudie hat IBM Research ein Angriffswerkzeug namens DeepLocker entwickelt, das auf KI basiert, vorgestellt auf der Black Hat USA 2018. Ziel war es, besser zu verstehen, wie sich bereits vorhandene KI-Modelle mit modernen Malware-Techniken kombinieren lassen, um eine neue Art von Malware zu entwickeln. Als Videokonferenzsoftware getarnt wartet DeepLocker geduldig, bis es ein System erreicht, auf dem eine bestimmte Bedingung erfüllt ist, erst dann setzt es seine schädliche Nutzlast frei. Dies erschwert es, den Schadcode zu finden, auch ein Reverse Engineering ist fast unmöglich. Malware, die mit solchen Spezifikationen entwickelt ist, könnte viele Computer infizieren, ohne aufzufallen, um dann auf den Zielrechnern gemäß dem Befehl des Angreifers zum Einsatz zu kommen.
Fazit: Schwerwiegende Folgen drohen
Findet KI in böswilliger Absicht Verwendung, wird dies alarmierende Folgen haben. Da KI-fähige Malware sich besser mit ihrer Umgebung vertraut machen kann, bevor sie zuschlägt, ist schwer erkennbare Malware ebenso zu erwarten wie zielgerichteteres Spear-Phishing, destruktivere netzwerkweite Malware-Infektionen, eine effektivere Schadcode-Verbreitung, überzeugendere Fake News und Clickbait sowie mehr plattformübergreifende Malware. Solche Schadsoftware könnte diverse Methoden nutzen, um der Erkennung durch Sicherheitslösungen zu entgehen: Sie könnte ihr Verhalten und ihre Eigenschaften je nach Umgebung ändern, sich selbst beim Verdacht, dass sie analysiert wird, löschen, ihr Erscheinungsbild variieren und bösartiger Aktivitäten nur auf bestimmten Systemen ausführen. Zudem könnten Malware-Autoren ML-basierte Sicherheitslösungen so trainieren, dass sie bestimmte bösartige Dateien außen vor lassen oder, wie oben erwähnt, eine große Anzahl von Fehlalarmen erzeugen.
Der kombinierte Einsatz von KI und Big Data könnte die jetzt schon unzureichend geschützte Privatsphäre gefährden. Malware-Autoren wüssten Details über ihre Ziele, die seit Jahren nicht mehr auftraten oder die sogar dem Nutzer selbst unbekannt sind. Das ebnet den Weg zu sich schnell verbreitenden Spear-Phishing-Kampagnen, die kaum mehr als bösartig erkennbar sind. Selbst erfahrende Nutzer können auf solche personalisierten Angriffe hereinfallen.
Lesen Sie mehr zum Thema
