Machine learning - 資安趨勢部落格

雙面刃!AI 及 ML被拿來犯罪

2020 年 12 月 07 日2020 年 12 月 03 日趨勢科技 TrendMicro

本文探討今日人工智慧 (AI) 及機器學習(Machine learning,ML) 如何遭到不肖利用及濫用，並且提出一些網路犯罪集團未來如何利用這些技術來謀取不法獲利的可能情境。

趨勢科技、聯合國區域犯罪與司法研究院 (UNICRI) 以及歐洲刑警組織 (Europol)

人工智慧 (AI) 正促使全球快速邁向一個更充滿活力的世界。AI 是電腦科學底下一個與其他學門息息相關的子領域，蘊含著提升效率以及促進自動化與自主性的龐大潛力。簡而言之，AI 是第四次工業革命的核心技術，也是一把雙面刃。至於機器學習(Machine learning,ML) 則是 AI 底下的一個專門藉由大量資料分析與演算法來找尋模式和規律的子領域，可讓企業機構與政府機關實現一些重大計畫，最終將驅動創新並改善營運。

下載「人工智慧的不肖利用及濫用」(Malicious Uses and Abuses of Artificial Intelligence)

AI 及 ML 在商業領域的結合相當普遍，事實上，截至 2020 年為止，已有 37% 的企業和機構以某種形式將 AI 整合到他們的系統與流程當中。有了這類技術的工具，企業就能更準確地預測客戶的購買行為，進而增加營收。某些企業在 ML 與 AI 工具的協助下，創造了驚人的業務，Amazon 即是一例，該公司 2018 年的市值已經達到一兆美元。

儘管 AI 和 ML 扮演了企業、關鍵基礎建設以及各種產業的重要支柱，並且協助人類因應一些重大的挑戰 (如 Covid-19 疫情)，但這些技術卻也讓各式各樣的數位、實體以及政治威脅浮上檯面。企業機構及一般個人若想確保自身安全、防範 AI 技術遭不肖之徒利用或濫用，就必須學習認識並了解 AI 系統遭惡意濫用的風險。

由趨勢科技、聯合國區域犯罪與司法研究院 (UNICRI) 以及歐洲刑警組織 (Europol) 聯合製作的研究報告「人工智慧的不肖利用及濫用」(Malicious Uses and Abuses of Artificial Intelligence) 一文，不僅探討了當今 AI 與 ML 技術遭到不肖利用及濫用的現況，更提出了一些網路犯罪集團未來如何利用這些技術來謀取不法獲利的可能情境。

AI 與 ML 遭到不肖利用及濫用的現況

AI 與 ML系統對企業來說不可或缺的一些功能，例如藉由大數據分析來自動產生預測並發掘一些不斷出現的模式和規律，剛好就是網路犯罪集團用來謀取不法獲利的功能。

繼續閱讀

一種專門偵測惡意程式變種的機器學習模型

2019 年 04 月 15 日2019 年 03 月 28 日趨勢科技 TrendMicro

惡意程式要能發揮作用，首先要能躲過資安防禦的偵測成功滲透到系統內部。它要能包裝並偽裝自己，讓自己看起來像一般正常的程式，等到通過資安關卡之後，再顯現出本性。針對不易偵測的惡意程式，或是樣本不足，無法提供有效分析的惡意程式，我們提出了一種採用對抗自動編碼器 (adversarial autoencoder) 並搭配語意雜湊碼 (semantic hashing) 的機器學習(Machine learning,ML)模型來加以偵測。趨勢科技與澳洲聯邦大學 (Federation University Australia) 研究人員共同發表過一篇名為「生成式惡意程式擴散偵測」(Generative Malware Outbreak Detection) 的研究論文。

透視加密編碼的惡意程式

惡意程式作者知道，惡意程式必須不被發現才有機會入侵裝置或網路。所以，他們會運用各種不同工具和技巧來躲避偵測，此外，更會用盡方法來提高惡意程式的偵測難度，包括躲避沙盒模擬分析、反解譯、反除錯、躲避防毒軟體以及變形或多形等技巧。例如先前曾出現在針對性攻擊與網路間諜行動當中的 RETADUP 蠕蟲，後來也演化出變形能力。其新的變種是以 AutoHotKey 程式碼來撰寫，且與其先前的 AutoIt 變種一樣，都是用來發動虛擬加密貨幣挖礦攻擊。

惡意程式一旦經過加密編碼，一般傳統的防毒系統就很難加以偵測。我們曾在一篇文章當中指出，加密編碼的問題可藉由發掘同一惡意程式家族當中不論任何變種都大致維持一致的特徵來加以偵測，例如程式指令序列。本文將延續先前那篇文章，更進一步深入探討對抗自動編碼器如何處理程式指令序列，以及語意雜湊碼在我們提出的模型當中有何用途。

繼續閱讀

利用機器學習來對 Gh0st RAT 變種的惡意網路流量分群 (Clustering)

2018 年 11 月 26 日2018 年 11 月 20 日趨勢科技 TrendMicro

網路犯罪集團躲避網路防護產品的能力和效率都越來越高。每一天，我們都會看到一些有關企業網路遭駭客入侵、資料遭到竊取、令專家傷透腦筋的報導。因此，如果沒有一套更有效率的偵測系統或方法，這樣的情況還會繼續下去。今日的駭客經常使用變形、加密、編碼以及其他技巧來自動製造大量變種，試圖躲避像規則式偵測技巧這類傳統入侵偵測方法。

為了解決日益成長的網路威脅，以及因應日益複雜的網路入侵技巧，趨勢科技特別鑽研了網路流量分群 (network flow clustering) 技巧，這是一種運用機器學習(Machine learning,ML)來提升現有入侵偵測技巧的方法。

我們之所以可藉由檢查網路流量資料來偵測網路上的異常狀況，是因為網路流量當中包含了許多有用的資訊可讓我們分析各種應用程式與服務的網路流量組成。為了利用分群技巧來有效率地大量標記和處理這類資料，我們採用了一種半監督式機器學習方法。接著，再利用這些標記來分辨不同惡意程式家族之間的關係和差異。

繼續閱讀

利用機器學習(Machine Learning)協助識別網頁竄改（Web Defacement）

2018 年 09 月 17 日2018 年 09 月 10 日趨勢科技 TrendMicro

網頁竄改（web defacement） – 一種明顯改變網頁外觀的攻擊，特別在政治事件後會被駭客用來表達自己的政治立場。我們在進行許多研究時都會遇到。我們在之前的一篇文章裡探討了常見的網頁竄改活動，並在另一篇文章中強調了我們資安研究工具內的機器學習(Machine Learning)能夠協助電腦緊急應變小組（CERT/電腦資安事件應變小組（CSIRT）及網站管理員為此類攻擊做好準備。後者是出自我們最新報告「找出網頁竄改活動：使用DefPloreX-NG從竄改網頁取得深入了解」內的分析結果。在這裡我們會闡述為什麼機器學習能夠協助我們更好地分析理解駭客如何運作及組織起來。

利用DefPloreX-NG機器學習技術來幫忙

我們在2017年推出了DefPloreX，這是個可以用在大規模電子犯罪鑑識的機器學習工具。而今年，我們推出了DefPloreX-NG，這個版本整合了強化的機器學習演算法及新的視覺化範本。我們在最新的網頁竄改報告中實際地利用了DefPloreX-NG來分析19年來1,300萬份的網頁竄改記錄。資安分析師和研究人員也可以用它來即時識別正在進行的網頁竄改活動，甚至是新或未知的攻擊活動。增強且具備更多功能的工具組能夠更有效地從原始遭竄改網站過濾出可操作的情報。它可以自動識別和追蹤網頁竄改攻擊活動，為每起攻擊活動加上有意義的標籤。此外，它還可以更加輕鬆地排序和搜尋網站，像根據攻擊者或駭客組織、動機、內容或宣傳類型、頂級網域（TLD）、遭竄改網站類別（媒體等）等等標籤。這些很大程度地是經由機器學習的幫忙。