Pesquisadores da Back Propagation propuseram um novo modelo de ameaça, batizado de “Intelligent Worm” (Verme Inteligente), no qual um worm usaria um loop de raciocínio baseado em inteligência artificial para revisar seus métodos de ataque após as defesas bloquearem sua rota original, adaptando-se em tempo real. O conceito, não representa uma ameaça confirmada, mas levanta questões sobre como o malware autopropagante poderia evoluir durante um ataque.
Segundo os analistas da Back Propagation, ao contrário de worms tradicionais que dependem de um conjunto fixo de vulnerabilidades e senhas roubadas, o Intelligent Worm colocaria um ciclo de “observar, planejar, agir e verificar” em torno de seu motor de propagação. Após uma tentativa de infecção falhar, o malware poderia inspecionar protocolos ou comportamentos de software, propor uma nova capacidade, validá-la em um ambiente controlado e atualizar seu módulo de infecção antes de tentar novamente, tornando sua taxa de sucesso um alvo móvel para os defensores.
Os pesquisadores enfatizam, no entanto, que um modelo de IA não pode criar exploits zero-day de forma confiável sob demanda. O relatório destaca que o código gerado é frequentemente pouco confiável, a verificação é custosa e ruidosa, e recriar com segurança um ambiente alvo é difícil. Um perigo mais plausível, segundo eles, seria uma operação híbrida na qual dispositivos infectados enviam dados de reconhecimento para uma infraestrutura centralizada, onde sistemas mais poderosos ou operadores humanos ajudariam a produzir e testar módulos de substituição.
Defesas práticas contra ameaças adaptativas
Apesar da sofisticação conceitual, o verme inteligente ainda precisaria realizar ações observáveis para se espalhar, como descoberta de rede, movimentação lateral e criação de novos processos. Os analistas afirmam que o monitoramento comportamental e de padrões de comunicação pode reduzir o espaço em que um verme silencioso pode operar sem ser notado.
As organizações devem priorizar a aplicação rápida de patches, o princípio do menor privilégio, a segmentação forte e a filtragem de tráfego de saída. Esses controles reduzem os sistemas que um ponto de apoio pode alcançar, restringem o que ele pode inspecionar e diminuem a propagação, mesmo que o malware mude seus arquivos ou técnicas. Os defensores devem se concentrar em negar as condições que o malware adaptativo precisa: acessibilidade, privilégio excessivo, tempo para experimentar e liberdade para se comunicar.
