SecTor 2025 | Hackers Dropping Mid-Heist Selfies
三句話摘要
研究人員用雙層 LLM pipeline 分析 1500 萬張資訊竊取惡意程式的感染截圖，從「犯罪現場自拍」中自動萃取感染向量與攻擊活動 IOC。 當攻擊者的工具替人類留下犯罪現場截圖時，兩層 LLM pipeline 能以 0.3 美分/張的成本將 1500 萬張「自拍」轉化為可追蹤的威脅情報——關鍵在於把分析師的隱性直覺明確拆解成可執行的 prompt 指令。 LLM 必須拆成兩層才能模擬人類分析直覺。 單一 prompt 要求模型直接輸出感染向量效果差，因為人類分析師實際上執行「先評估場景、再鎖定可疑元素」兩個隱性步驟；拆層後準確率從不穩定躍升至 96–100%。
重點整理
重點- 1
LLM 必須拆成兩層才能模擬人類分析直覺。 單一 prompt 要求模型直接輸出感染向量效果差，因為人類分析師實際上執行「先評估場景、再鎖定可疑元素」兩個隱性步驟；拆層後準確率從不穩定躍升至 96–100%。
- 2
截圖作為感染向量線索，比竊取的憑證資料更有情報價值。 竊得的密碼只說明「誰被偷了」，但截圖能還原「如何被感染」——包含下載來源、誘餌內容、使用的平台，是追蹤攻擊活動的關鍵。
- 3
攻擊者大量使用盜版軟體與 Google Ads 作為入侵路徑，針對心理弱點而非技術漏洞。 分析發現兩大誘餌類型（盜版軟體、遊戲外掛）與兩大散布管道（YouTube 教程、Google 付費廣告），手法不複雜但極度有效，因為人對「免費」與「看起來官方」的信任幾乎無防備。
- 4
約 20% 的受害者裝置上留有企業 Active Directory / ADFS 憑證。 即使感染發生在個人電腦，若該電腦曾登入公司系統，企業就面臨實質風險，個人行為直接轉化為企業供應鏈弱點。
實用技巧與重點
乾貨- 惡意程式家族：LummaC2、StealC、Redaman、Atomic Stealer
- 分析規模：1500 萬張截圖，論文分析基礎為「數萬張」
- 分析成本：每張約 0.3 美分；10 萬張 ≈ 300 美元
- 分析速度：每張數秒，可高度並行（IO-bound，依賴 OpenAI API）
- 第一層 LLM 準確率：場景描述 96%、檔案與 URL 100%、可疑元素 85%、瀏覽器分頁 ~33%（後刪除此欄位，整體結果不變）
- 刪除「瀏覽器分頁」欄位後第一層準確率不受影響
- IOC 驗證規則：檔案分享平台→偵測錯誤訊息或 HTTP 碼；YouTube→偵測影片是否下架；含密碼壓縮檔→視為存活 IOC；有下載按鈕→視為存活 IOC
- 誘餌軟體：Microsoft Office、Vegas Pro、Midjourney、Fortnite、Valorant、Minecraft、Roblox、FruityLoops Studio、Java
- Blitz Java 活動：19 小時內全球擴散，跨 2023 年 2 月 11–12 日（週末）
- Midjourney 與 Blitz Java 各佔分析截圖約 5%
- 企業憑證洩漏比例：約 20% 受害者含 AD/ADFS 憑證
- 後續計畫：建立「Sherlock」IR 助理，整合分析安裝軟體清單、執行中程序、瀏覽器歷史、系統資訊等多種 stealer log 構件
- OCR 方案比較：試過但準確率差，且需自建運算基礎設施；LLM API 方案計算量外包，成本反而更低
- 研究論文：可在 arXiv 搜尋「LLM based information stealer」
結論
結論“當攻擊者的工具替人類留下犯罪現場截圖時，兩層 LLM pipeline 能以 0.3 美分/張的成本將 1500 萬張「自拍」轉化為可追蹤的威脅情報——關鍵在於把分析師的隱性直覺明確拆解成可執行的 prompt 指令。”
完整解析
詳細資訊竊取惡意程式（Infostealer）是近兩年最活躍的威脅類型之一。其運作模式是誘使受害者主動下載並執行程式，惡意程式隨即掃描瀏覽器儲存的密碼與 Cookie、加密貨幣錢包、剪貼簿內容及系統指紋，打包成 ZIP 後上傳至 C2 伺服器（大量使用 Telegram 頻道），再以批量形式在暗網或 Telegram 頻道販售。由於不需要管理員權限、通常不持久化且會自我刪除，這類惡意程式在傳統端點防護的視野中極易消失無蹤。
兩位研究員（Olivier 與 Estelle）注意到，許多 Infostealer 家族會在感染瞬間對桌面截圖，原始設計目的是讓攻擊者快速判斷是否落入沙箱。然而從防禦端看，這張截圖記錄了感染現場的完整狀態：用戶正在訪問哪個網站、下載了什麼檔案、使用的是哪個誘餌平台。他們將這張截圖命名為「mid-heist selfie（犯罪中途自拍）」，並意識到這是還原攻擊活動脈絡的關鍵線索——但當資料量達到 1500 萬張時，人工分析已完全不可行。
於是他們設計了雙層 LLM pipeline。第一層負責視覺評估：輸入截圖，輸出場景描述、可見的檔案與安裝程式資訊、URL、可疑元素。早期設計曾包含「瀏覽器分頁」欄位，但評估後發現準確率僅約三分之一，刪除該欄位後整體結果不受影響，因此直接移除。第一層的結構化文字描述再作為第二層的輸入，第二層的唯一任務是判斷感染向量（Vector）與誘餌主題（Theme），輸出為標準化陣列，方便程式化後處理。這個「先觀察、後推斷」的設計源自一個關鍵洞察：人類分析師在做「看截圖判斷感染來源」這件事時，其實隱性地執行了多個子步驟，而 LLM 沒有辦法在單一 prompt 中自動完成這種分解，必須由工程師明確拆解並翻譯成指令。
Pipeline 輸出的 IOC 大量為失效連結，因此又加入第三層 IOC 存活性驗證：針對檔案分享平台偵測下架訊息或異常 HTTP 回應，對 YouTube 連結偵測影片是否遭下架，對含密碼壓縮檔視為存活（因為這是常見的沙箱規避手法），並沿著所有重導向追蹤鏈路留存完整證據。最終大規模分析揭示了攻擊者慣用的「劇本」：以主流軟體（Office、Midjourney）或熱門遊戲（Fortnite、Roblox）為誘餌，透過 YouTube 教程或 Google 付費廣告散布高仿真釣魚頁面，並刻意在操作流程中插入「請關閉防毒軟體」的步驟來預先建立心理暗示。Blitz Java 活動以 19 小時全球擴散（選在週末，因為用戶在線時間長且企業資安回應較慢）作為典型案例，充分說明這套劇本的執行效率。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
