Kuzey Kore bağlantılı bir macOS backdoor'u, kendisini analiz eden kum havuzu yerine, siber güvenlik analistlerinin kullandığı yapay zeka triage araçlarını hedef alan bir prompt injection tekniğiyle keşfedildi. SentinelOne'ın araştırma kolu SentinelLabs tarafından tespit edilen bu zararlı yazılım, macOS.Gaslight olarak adlandırıldı ve yüksek güvenle Kuzey Kore'ye atfedildi. Rust programlama diliyle yazılmış olan implant, yapay zeka destekli triage sürecini sabote etmek için 38 adet sahte sistem mesajı içeriyordu.
Prompt injection, zararlı yazılımın bir kum havuzunda veya araştırmacının sanal makinesinde çalıştığını algılamaya çalışan geleneksel yöntemlerden farklı olarak, doğrudan araştırmacının araçlarını hedef alıyor. SentinelLabs, bu örnekte, yapay zeka triage aracının iç yapısını taklit eden Markdown biçimli sahte sistem mesajları bulunduğunu belirtti. Bu mesajlar, token süresinin dolduğu, bellek ve disk hataları, tekrarlanan başarısızlıklar ve sahte enjeksiyon açıkları gibi uyarılarla yapay zeka ajanını analizi durdurmaya veya reddetmeye zorlamayı amaçlıyordu. Daha önceki versiyonlarda tek bir blok halinde kullanılan bu teknik, bu örnekte 38 bloktan oluşan bir kaskad halinde sunuldu.
Prompt injection'un arkasında, tam teşekküllü bir bilgi çalma ve arka kapı işlevi yatıyordu. Araştırmacılar, implantın operatöre etkileşimli bir kabuk sunduğunu ve Chrome, Brave, Firefox, Safari tarayıcı verilerini, terminal geçmişini, yüklü uygulama listesini ve macOS giriş anahtarlığının bir kopyasını çalabildiğini belirtti. Veri toplama işleminin büyük kısmı, zararlının isteğe bağlı olarak devreye soktuğu bir Python modülü aracılığıyla gerçekleştiriliyordu. İletişim kanalı olarak Telegram'ın Bot API'sini kullanan zararlı, trafiği şifreleyerek ve sertifika sabitleme ile ağ incelemesine karşı koruyarak gizliliğini sağlıyordu.
SentinelLabs, bu kötü amaçlı yazılımda iki yenilikçi özellik tespit etti: çalışma zamanında açık kaynaklı bir projeden bağımsız bir Python yorumlayıcısı indirebilmesi ve kendi Telegram bot token'ını günlüklerden veya çökme çıktılarından silebilmesi. Bu özellikler, savunmacıların önemli bir tespit ipucunu kaybetmesine neden oluyor. Atıf, Apple'ın XProtect imza ailesi aracılığıyla kısmen mümkün oldu. SentinelLabs araştırmacıları, "Bu tür araçlar geliştirenler, triyaj yaptıkları örneklerin içeriğini talimat değil, düşmanca girdi olarak ele almalı ve düşmanca içeriği modelin dışında tutmaya hazır olmalıdır" uyarısında bulundu.
