Stairwell presenta Backstory: un agente AI per mappare la diffusione del malware

Stairwell, un'azienda specializzata in sicurezza informatica, ha lanciato Backstory, un agente AI progettato per investigare la diffusione del malware a partire da un singolo allarme. Mike Wiacek, fondatore e CTO di Stairwell, ha spiegato a Help Net Security come questo strumento rivoluziona la risposta agli attacchi informatici.

Un approccio innovativo alla sicurezza informatica

Backstory è descritto come una "piattaforma di investigazione agentica per il raggio di diffusione del malware". In termini semplici, questo strumento inizia con un singolo allarme e lavora all'esterno per mappare quanto lontano si sia diffusa una campagna di malware. È progettato per le squadre di SOC (Security Operations Center) e di incident response, che devono rispondere alla domanda fondamentale dietro ogni allarme: quanto si è effettivamente diffuso questo malware e lo abbiamo trovato tutto?

Il problema delle varianti del malware

Stairwell ha scoperto che ogni campione di malware pubblicato nasconde in media 2,4 varianti non documentate. Questo significa che, per ogni campione di malware noto, ci sono in media 2,4 varianti correlate che non sono state incluse nei rapporti di minaccia pubblici. In totale, Stairwell ha identificato 46.594 file maliziosi nascosti associati a campioni di malware pubblicamente noti.

Le varianti del malware non sono semplicemente file che condividono alcuni frammenti di codice. Stairwell utilizza una tecnologia proprietaria di scoperta delle varianti che valuta segnali tecnici multipli, tra cui firme condivise, similarità delle tabelle di importazione, riutilizzo del codice e altri indicatori proprietari, per determinare se un file è significativamente correlato al malware originale.

La potenza del "ground truth"

Stairwell raccoglie ogni eseguibile che viene eseguito sui endpoint dei clienti, inclusi binari, script e DLL, e li conserva in un ambiente dedicato per sempre. Questo approccio, chiamato "ground truth", è diverso da quello degli altri strumenti di sicurezza che si basano sui log.

Il "ground truth" preserva cosa esisteva effettivamente su un dispositivo, non una descrizione secondaria di ciò che è stato visto fare. Poiché tutto è conservato, la rarità diventa un vantaggio strategico che gli attaccanti non possono quantificare o superare. Stairwell può misurare quanto un file è insolito all'interno del tuo ambiente e in tutti gli ambienti, fornendo un valore misurabile unico. La rarità di un file, combinata con la reputazione del suo quartiere di varianti, quantifica il rischio in un modo che nessun altro approccio può eguagliare.

Il futuro del malware generato da AI

Stairwell non afferma che una percentuale misurabile di malware negli ambienti dei clienti sia scritta da AI. Tuttavia, è già reale il cambiamento nell'economia degli attaccanti. L'AI riduce il tempo e il costo necessari per modificare, testare e personalizzare il malware. Gli attaccanti non devono più riutilizzare lo stesso campione su migliaia di vittime. Possono produrre molte versioni distinte dello stesso strumento, testarle contro le difese comuni e distribuire quella che passa.

Backstory parte dall'assunzione opposta: il primo campione potrebbe essere sconosciuto. Può chiedere e ragionare su cosa quel file è strutturalmente correlato, dove i file correlati sono esistiti, cosa è apparso intorno a loro e quanto lontano è arrivata la campagna. Questo cambia la dinamica. La conoscenza del proprio ambiente diventa un controllo di sicurezza a sé stante.

Gestione del rumore nei grandi ambienti aziendali

Backstory non genera un allarme per ogni nuovo file, il che eviterebbe di sommergere le squadre di un diverso tipo di alluvione. Un aggiornamento di Chrome che appare su migliaia di macchine e in tutto il corpus di Stairwell appare ordinario. Un nuovo eseguibile che appare su un singolo postazione di lavoro finanziaria, invece, è un segnale significativo.

Backstory rappresenta un passo avanti significativo nella lotta contro il malware, offrendo agli analisti della sicurezza un modo più efficiente e completo per comprendere e rispondere alle minacce.

L'impatto di Backstory sulla sicurezza aziendale

Backstory rappresenta una rivoluzione nel modo in cui le aziende affrontano le minacce informatiche. La sua capacità di mappare l'intero raggio di diffusione di un malware offre un vantaggio strategico significativo. Tradizionalmente, le squadre di sicurezza erano costrette a lavorare con informazioni parziali, limitate dagli alert iniziali e dalle risorse disponibili. Con Backstory, invece, gli analisti possono ottenere una visione completa e contestualizzata di ogni campagna maliziosa.

Questa profondità di analisi consente alle organizzazioni di identificare non solo le minacce attive, ma anche quelle dormienti o potenziali. La conoscenza del raggio di diffusione completo permette di valutare l'impatto reale di un attacco, di comprendere le vie di infezione e di implementare misure di contenimento più efficaci.

L'evoluzione del panorama delle minacce

Il panorama delle minacce si è evoluto rapidamente, con gli attaccanti che sfruttano sempre di più tecnologie avanzate come i modelli linguistici maliziosi (malicious LLMs) per generare malware. Questo cambiamento ha reso gli attacchi più frequenti, più diversificati e più difficili da rilevare con i metodi tradizionali.

Il malware generato da AI non solo aumenta il volume delle minacce, ma introduce anche una maggiore variabilità. Gli attaccanti possono ora creare numerose varianti di uno stesso strumento malizioso, testarle contro le difese comuni e distribuire quelle che riescono a eludere i sistemi di sicurezza. Questo approccio rende le campagne maliziose più efficaci e più difficili da contrastare.

La sfida della gestione degli alert

Uno dei maggiori ostacoli per le squadre di sicurezza è la gestione degli alert. Con l'aumento del volume e della complessità delle minacce, gli analisti si trovano spesso sommersi da un numero elevato di segnalazioni. Backstory risolve questo problema offrendo un approccio più efficiente e automatizzato.

Il sistema non genera un allarme per ogni nuovo file, ma piuttosto valuta il contesto e la rarità di ogni elemento. Questo approccio selettivo permette di identificare i segnali più significativi, riducendo il rumore e migliorando l'efficienza delle operazioni di sicurezza.

Il valore della conoscenza del proprio ambiente

La conoscenza approfondita del proprio ambiente diventa un controllo di sicurezza a sé stante. Backstory consente alle organizzazioni di comprendere meglio le dinamiche interne, identificando i punti deboli e le aree di rischio. Questa consapevolezza permette di implementare misure preventive più efficaci e di rispondere più rapidamente alle minacce emergenti.

In un contesto in cui gli attaccanti sfruttano sempre di più la variabilità e l'adattabilità, la capacità di Backstory di mappare le connessioni tra file e campioni maliziosi offre un vantaggio strategico unico. Le organizzazioni possono così adottare un approccio più proattivo alla sicurezza, anticipando le mosse degli attaccanti e riducendo l'impatto delle minacce.

Il futuro della sicurezza informatica

Backstory rappresenta solo l'inizio di una nuova era nella sicurezza informatica. Con l'evoluzione continua delle minacce, è fondamentale adottare soluzioni innovative e adattabili. Gli strumenti basati sull'intelligenza artificiale, come Backstory, offrono un modo più efficiente e completo per affrontare le sfide della sicurezza moderna.

Le organizzazioni che adottano queste tecnologie possono non solo migliorare la propria capacità di risposta, ma anche ottenere un vantaggio competitivo significativo. La sicurezza informatica non è più un costo, ma un investimento strategico che può fare la differenza tra il successo e il fallimento.

Backstory di Stairwell rappresenta un passo avanti significativo nella lotta contro il malware. La sua capacità di mappare il raggio di diffusione completo delle campagne maliziose offre un valore unico alle organizzazioni che cercano di proteggere i propri sistemi e dati. Con l'evoluzione del panorama delle minacce, soluzioni come Backstory diventano sempre più essenziali per garantire la sicurezza e la resilienza delle infrastrutture informatiche.

In un mondo in cui gli attaccanti sfruttano tecnologie avanzate per eludere le difese tradizionali, è fondamentale adottare approcci innovativi e proattivi. Backstory offre una soluzione completa e automatizzata che consente alle squadre di sicurezza di lavorare in modo più efficiente e efficace, migliorando la capacità di risposta e riducendo il rischio di attacchi.

Nota Editoriale e Disclaimer

Le guide e i contenuti pubblicati su GoYou sono frutto di attività di ricerca e analisi indipendente, a scopo informativo, educativo e di approfondimento.

GoYou non costituisce una testata giornalistica né un prodotto editoriale ai sensi della Legge n. 62/2001 e non svolge attività di informazione in tempo reale.

Il progetto GoYou non fornisce consulenza professionale, tecnica, legale o finanziaria e declina ogni responsabilità per l’uso improprio delle informazioni pubblicate.

Nel settore Crypto, ogni investimento comporta rischi: si invita il lettore a informarsi sempre in modo autonomo prima di assumere qualsiasi decisione.