El pasado 24 de abril, VirusTotal anunció la incorporación de Code Insight a su catálogo de funcionalidades. Esta herramienta se basa en Sec-PaLM y está diseñada para generar resúmenes comprensibles desde el punto de vista de una IA especializada en ciberseguridad y malware.
Funcionamiento y limitaciones de Code Insight
Actualmente, Code Insight permite analizar conjuntos de ficheros de PowerShell subidos a VirusTotal. Sin embargo, no procesa aquellos archivos que son considerablemente similares a los ya analizados previamente ni aquellos con un tamaño excesivo.
Aplicaciones y utilidad en el análisis de amenazas
En el futuro se irán añadiendo formatos de ficheros adicionales. El análisis de amenazas mediante Code Insight proporciona información preliminar y fácilmente interpretable para los usuarios antes de realizar un análisis más profundo.
Detección de falsos positivos y negativos
Code Insight es útil para detectar posibles falsos positivos y falsos negativos. El análisis realizado por Code Insight es independiente de los motores antivirus incorporados a VirusTotal.
Casos prácticos de detección
Un fichero de PowerShell que intenta robar credenciales de Gmail no fue detectado por ningún motor antivirus, pero Code Insight lo catalogó como malware. También se han identificado casos donde Code Insight ha señalado que un fichero no es malicioso, mientras que varios motores antivirus lo detectan como tal.
Impacto en la detección de amenazas
En algunos casos, el número de motores antivirus que identifican este tipo de ficheros como maliciosos ha disminuido progresivamente. Code Insight se ha integrado en VirusTotal Intelligence.
Nuevos filtros de búsqueda
Los filtros de búsqueda incluyen ahora el término «codeinsight:», permitiendo realizar búsquedas basadas en si los ficheros son maliciosos o tienen funcionalidad de keylogger.
Rendimiento y limitaciones del modelo
VirusTotal señala que el rendimiento del modelo LLM puede variar según el caso, pudiendo incluir errores.
Consideraciones sobre la adopción de Code Insight
Se espera una «competición» entre las campañas de malware y esta nueva aproximación a su análisis. Se recomienda tener en cuenta esta información, sigue siendo necesario interpretarla en combinación con otros datos contextualizados.