Un modelo de inteligencia artificial generativa, alojado localmente y sin censura, logró modificar una herramienta de extracción de credenciales de Windows para evadir dos productos de Detección y Respuesta de Endpoints (EDR) en un entorno de laboratorio. El experimento, realizado por el investigador Eddie Zhang de Project Black, se centró en el Local Security Authority Subsystem Service (LSASS), demostrando que la IA accesible puede acelerar significativamente el desarrollo de herramientas ofensivas personalizadas.

Un modelo de inteligencia artificial sin censura y alojado localmente modificó una utilidad de volcado de credenciales de Windows hasta que logró evadir dos productos de Detección y Respuesta de Endpoints (EDR) en un laboratorio controlado, resaltando cómo la IA generativa accesible podría acelerar el desarrollo de herramientas ofensivas personalizadas.

El experimento, publicado por el investigador de Project Black Eddie Zhang, se centró en el Servicio de Subsistema de la Autoridad de Seguridad Local (LSASS), cuya memoria puede contener material de autenticación útil para el movimiento lateral después de que un atacante obtiene acceso administrativo.

El proyecto comenzó con un punto de referencia deliberadamente desafiante: ¿podría una IA crear un ejecutable capaz de volcar el LSASS sin que un EDR moderno lo detectara, requiriendo poca dirección humana? Esta es una prueba trascendental porque MITRE ATT&CK rastrea el volcado de memoria de LSASS como T1003.001, una subtécnica de Acceso a Credenciales. Los usuarios con nivel administrativo o de SYSTEM pueden recolectar credenciales de la memoria de LSASS y reutilizarlas para autenticarse en sistemas adicionales.

Según Zhang, los intentos de generar el volcado con Claude Opus 5, Opus 4.8 y Sonnet 5 produjeron rechazos inmediatos, a pesar de la aprobación de su organización bajo el Programa de Verificación Cibernética de Anthropic.

Luego probó el modelo de pesos abiertos DeepSeek v4 Flash 0731. Después de varios prompts, DeepSeek produjo un ejecutable funcional que aceptaba un identificador de proceso, creaba un clon suspendido del objetivo mediante reflexión, generaba un minivolcado en memoria, lo cifraba con XOR y escribía la salida cifrada en el disco.

El investigador validó el volcado resultante con pypykatz, confirmando que podía ser analizado, pero el ejecutable inicial todavía activaba la detección del EDR. Cuando se le pidió mejorar el sigilo, DeepSeek invocó una barrera de seguridad.

Por lo tanto, Zhang trasladó el código a un modelo Qwen 3.8 27B modificado por la comunidad y sin censura, ejecutándose localmente en un equipo de craqueo de contraseñas equipado con dos tarjetas gráficas Nvidia RTX 4090.

La IA Local Evade el EDR

Con solo una solicitud para hacer que el ejecutable fuera "más sigiloso", el modelo local devolvió una versión revisada que no generó detecciones en ninguna de las dos plataformas EDR disponibles en el laboratorio, informó Zhang.

La revisión del código mostró que Qwen había alterado el comportamiento de generación de procesos, reducido las máscaras de acceso solicitadas contra el proceso objetivo, insertado retrasos aleatorios durante la construcción del minivolcado, cambiado el nombre y la ruta del archivo de salida, y eliminado las cadenas integradas del binario.

Estas modificaciones son importantes porque muchas defensas correlacionan artefactos reconocibles: ancestros de procesos sospechosos, solicitudes de manejadores de altos privilegios a LSASS, cadenas conocidas, creación de archivos de volcado y comportamientos con tiempos muy ajustados.

Elastic, por ejemplo, documenta una regla independiente de la herramienta que monitorea las solicitudes de manejadores de LSASS con máscaras de acceso frecuentemente utilizadas por las utilidades de volcado, mientras que MITRE describe la detección a través de una secuencia de acceso a procesos anormales seguida de un volcado de memoria o creación de archivos.

El hallazgo es significativo, pero su alcance sigue siendo limitado. Los proveedores de EDR no fueron nombrados, los detalles de configuración no fueron publicados y el éxito contra dos productos de laboratorio no establece una capacidad de evasión universal.

No obstante, muestra cómo los modelos locales y sin barreras de seguridad pueden remodelar iterativamente código ofensivo conocido sin enviar prompts o código fuente a un servicio alojado, reduciendo la experiencia y el tiempo necesarios para producir variantes específicas para un entorno.

Tú, como defensor, deberías tratar el EDR como una capa y no como una garantía. Microsoft recomienda habilitar la regla de Reducción de Superficie de Ataque contra el robo de credenciales de LSASS con protección contra manipulaciones, ejecutar LSASS como Proceso Protegido Ligero, implementar Credential Guard, restringir la administración de RDP y desactivar el almacenamiento en caché de credenciales WDigest.

Las organizaciones también deberían minimizar los derechos de administrador local, separar las cuentas privilegiadas, usar credenciales únicas, monitorear el acceso inusual a LSASS y aislar rápidamente los hosts que muestren un comportamiento de volcado de credenciales.

Fuentes:
https://cybersecuritynews.com/local-ai-bypasses-edr/