Microsoft уличили в самовольном сборе данных для обучения нейросетей

Microsoft уличили в самовольном сборе данных для обучения нейросетей

Microsoft уличили в самовольном сборе данных для обучения нейросетей

Как выяснилось, набор функций Connected Experiences приложений Microsoft Office, предназначенный для анализа созданных пользователями материалов, передается в Microsoft для обучения нейросетей. Отключение этой функции возможно, но неочевидно. Сама корпорация все отрицает.

На включенную функциональность по умолчанию, обратил внимание пользователь соцсети X (бывший Twitter) под ником nixCraft. Причем явного согласия на это Microsoft не спрашивает.

«Этот параметр в дефолтной конфигурации позволяет Microsoft использовать любые документы, включая статьи, романы или другие произведения, в том числе являющиеся объектом авторских прав или содержащих коммерческую тайну без явного согласия авторов или владельцев, — предупреждает обозреватель онлайн-издания Tom’s Hardware Guide Антон Шилов.

«Возникает также конфликт интересов, поскольку данные, созданные в Microsoft Office, могут использоваться для обучения внутренних нейросетей в компаниях. По этой причине любой, кто обеспокоен защитой своей интеллектуальной собственности или конфиденциальной информации, должен немедленно принять меры».

Отключение данной функции возможно, но неочевидно. Для этого необходимо перейти в меню Файл → Параметры → Центр управления безопасностью → Параметры центра управления безопасностью → Параметры конфиденциальности → Параметры конфиденциальности → Сетевые функции → Взаимодействия для анализа контента и снять галочку с пункта «Включить функции, позволяющие анализировать содержимое».

По мнению Шилова, действия Microsoft находятся в русле общей тенденции использования данных пользователей для обучения ИИ, причем без явного согласия последних. Это не раз становилось поводом для скандалов и доходило до судебных разбирательств.

Microsoft ответила на обвинение. По словам ее представителей, Connected Experiences собирает некоторые данные с помощью офисных приложений, но это нужно только для работы сетевых функций, например, совместной работы над документами. Для обучения нейросетей эти данные не используются.

TrickBot спрятал команды в DNS и научился обходиться без HTTP

TrickBot обзавёлся новым способом связи с командным сервером: вместо привычного HTTP вредонос использует DNS-туннелирование. Команды и украденные данные теперь маскируются под обычные DNS-запросы — попробуй отличи атаку от сетевой рутины.

Исследователи из FortiGuard Labs обнаружили, что TrickBot шифрует данные с помощью XOR-ключа 0xB9, переводит их в шестнадцатеричный формат и дробит на части.

Получившиеся строки становятся поддоменами адресов злоумышленников — например, westurn.in. Запросы могут отправляться через публичные DNS-серверы вроде 8.8.8.8.

 

Ответы устроены ещё хитрее: вредонос кодирует данные внутри IPv4-адресов, используя старшие биты каждого октета как метки для сборки фрагментов. Один пакет позволяет передать до 183 байт. Если DNS-сервер перемешает ответы, TrickBot расставит их в правильном порядке самостоятельно.

Скорость такого туннеля достигает примерно 30,7 Кбайт/с. Этого достаточно, чтобы загрузить модуль размером 1,2 Мбайт менее чем за минуту. Не оптоволокно, конечно, но для доставки вредоносной нагрузки вполне бодро.

При этом старые привычки TrickBot не забыл. Он сохранил прежнюю структуру команд, умеет загружать модули, внедрять код в процессы, запускать PowerShell и выполнять машинный код.

 

Для закрепления в системе малварь создаёт задания планировщика с безобидными названиями вроде Wireshark autoupdate #<число>. Они запускаются каждые пять минут и при старте Windows. Сведения о задании и путь к файлу прячутся в альтернативных потоках NTFS $TASK и $FILE.

Строки и названия Windows API внутри образца зашифрованы, а нужные функции определяются во время работы по хешам. Аналитикам оставили настоящий технический квест.

Защитникам рекомендуют проверять аномально длинные и некорректные DNS-запросы, обращения к необычным резолверам и подозрительную активность поддоменов.

RSS: Новости на портале Anti-Malware.ru