🛡 Ire находит новый вариант LOTUSLITE, невидимый для большинства EDR

Проект Ire от Microsoft Research — автономный LLM-агент для классификации вредоносного ПО — обнаружил новый вариант бэкдора LOTUSLITE. Образец (SHA-256: 47e51e…) не совпадает ни с одним индикатором компрометации (IOC) из публичного отчета Acronis, и по состоянию на 4 июня 2026 года большинство EDR (CrowdStrike Falcon, SentinelOne, Sophos, Trellix, Palo Alto, ESET) его не детектируют. Ire проанализировал DLL без какого-либо контекста, используя только декомпилятор, и выдал вердикт «malicious» — с полным функциональным отчетом: установочная процедура, структура C2-пакетов, ID команд, механизм персистентности и обфускация.

Ключевая особенность: Ire работает без метаданных, телеметрии и подсказок аналитика. Агент самостоятельно вызывает декомпиляторы и бинарные анализаторы, строит проверяемую цепочку доказательств и принимает решение. В данном случае он корректно отклонил ложное срабатывание на функцию nf_unRegisterDriver — несмотря на подозрительное имя, агент не стал утверждать, что она перехватывает пакеты, так как фактически она лишь пишет ключ автозапуска. Это демонстрирует, как LLM-анализ может избегать типичных ошибок переобучения на «подозрительные строки».

Практическое значение: Ire решает проблему вариантов, которые разделяют TTPs (тактики, техники, процедуры) с известными семействами, но не имеют совпадающих IOC. Такие образцы проходят мимо сигнатурных списков, но поведенческий анализ на основе LLM их ловит.

#Ai #Tech #IRE #CyberSecurity #Vulnerability #Microsoft #Research