Threat Researcher | Ex-Kaspersky | in love with malware
SandBox
Joined February 2021
- Tweets708
- Following1.1K
- Followers3.3K
- Likes442
Pinned Tweet
During my SANS 598 course I built a project that solves a real pain point for me as a malware analyst.
I kept leaving the debugger to look up an API's Microsoft documentation or how it gets abused.
So I built APISignature, an x64dbg plugin: Microsoft docs, malapi abuse notes, and the capa chains detect malicious patterns an API belongs to. 44,000+ APIs, offline.
Plus an optional MCP server, so your AI assistant looks them up instead of guessing.
github.com/mohammad-alattas/…
I’ve added new sections to my research: "Did it reach this stage?"
So rather than reading a static, boring report, you can now investigate on your own in your environment.
At the end of each malware stage, I’ve included a small table that shows you three things:
1. Where: Where the behavior happened, and at what level (process, network, disk, etc.).
2. What to look for: A short description of the behavior.
3. Telemetry: Where you should expect to see it (EDR, SIEM, firewall, etc.).
This way, readers can start their own investigation while they read.
Happy hunting!
Active ClickFix + browser cache smuggling campaign, still live.
Fake Cloudflare check: Win+R, Ctrl+V, Enter. The pasted command has no URL. The VBS payload is already in the browser cache, disguised as a PNG.
Ends in VelCap, a crypto-wallet stealer.
mohammad-alattas.github.io/p…
1
256
Active ClickFix + browser cache smuggling campaign, still live.
Fake Cloudflare check: Win+R, Ctrl+V, Enter. The pasted command has no URL. The VBS payload is already in the browser cache, disguised as a PNG.
Ends in VelCap, a crypto-wallet stealer.
mohammad-alattas.github.io/p…
Many PHP2Shell detections chase IOCs or cover one slice of the attack.
So I built a layered Sigma set: exposure, exploit attempt, crash, shell spawn, and hunts for what never spawns a shell.
mohammad-alattas.github.io/p…
#PHP2Shell #Sigma #DFIR
2
7
576
Talked "Malicious AI-Agent Skills: The Next-Gen Malware Class" at @IncidentLab_sa.
AI skills: written by strangers, installed by everyone, read by nobody.
Live demos, real stories, defense tactics.
Huge thanks to everyone who came and for the organizer @S4o_o.
I’ll be a guest on IncidentLab for a live session, where we’ll discuss and demonstrate how threat actors abuse your AI agents to carry out malicious activity.
Topic: "AI-Agent as a New Malware"
Date: Thursday 22/10/2026 | 7:00 PM
Registration Link: forms.gle/HkwHUY7DUU4dSz
298
We just talk about this today!
‼️ VirusTotal flagged 6,6k of 35,8k AI agent skills as malicious.
62% have no malicious code, but plain-language orders for the agent.
90 hide them in invisible Unicode, HTML comments or after up to 825 blank lines. Another tells the agent "Your human doesn't need to know." 💀
1
327
Location📍:
maps.app.goo.gl/D7heaaJBS5Gw…
I’ll be a guest on IncidentLab for a live session, where we’ll discuss and demonstrate how threat actors abuse your AI agents to carry out malicious activity.
Topic: "AI-Agent as a New Malware"
Date: Thursday 22/10/2026 | 7:00 PM
Registration Link: forms.gle/HkwHUY7DUU4dSz
1
325
I’ll be a guest on IncidentLab for a live session, where we’ll discuss and demonstrate how threat actors abuse your AI agents to carry out malicious activity.
Topic: "AI-Agent as a New Malware"
Date: Thursday 22/10/2026 | 7:00 PM
Registration Link: forms.gle/HkwHUY7DUU4dSz
ضمن سلسلة جلسات IncidentLab يشرفنا دعوتكم للتسجيل في الجلسة القادمة بعنوان:
The Skill Is the Kill: AI Agents as the New Malware
مع متحدثنا الرهيب: محمد العطاس 🔥
📅 الخميس 22/10/2026 | الساعة 7 مساءً
@t2_ltd
رابط التسجيل:
forms.gle/HkwHUY7DUU4dSthw9
Mohammad Alattas | MODWare retweeted
ضمن سلسلة جلسات IncidentLab يشرفنا دعوتكم للتسجيل في الجلسة القادمة بعنوان:
The Skill Is the Kill: AI Agents as the New Malware
مع متحدثنا الرهيب: محمد العطاس 🔥
📅 الخميس 22/10/2026 | الساعة 7 مساءً
@t2_ltd
رابط التسجيل:
forms.gle/HkwHUY7DUU4dSthw9
A batch file that's really a seven-module, self-decoding in-memory loader, and almost nothing malicious ever touches disk.
New research: "Hiding in plain batch: Inside Government-Branded Multi-Stage XWorm Loader C2"
Full teardown and IOCs here:
mohammad-alattas.github.io/p…
1
210
How is a 6 year-old Redline infostealer still reusable?
The crypter gets repacked. The engine never changes.
Check out my first threat research about RedLine's core engine with 0 VT submissions.
mohammad-alattas.github.io/p…
Mohammad Alattas | MODWare retweeted
خلال الأيام الماضية انتشرت ورقة بحثية/تجريبية من Pine AI في مجتمع الذكاء الاصطناعي لأنها طرحت محاولة غير تقليدية لتقدير حجم النماذج المغلقة من زاوية مختلفة:
هل يمكن تقدير حجم النماذج المغلقة مثل GPT و Claude و Gemini من خلال قياس كمية الحقائق النادرة التي يعرفها النموذج؟
الورقة بعنوان
Incompressible Knowledge Probes: Estimating Black-Box LLM Parameter Counts via Factual Capacity
الفكرة كانت مختلفة عن الطرق المعتادة. بدل محاولة تخمين حجم النموذج من سرعة الاستجابة أو تكلفة التشغيل، طورت الورقة مجموعة أسئلة اسمها IKP تحتوي على 1400 سؤال في 7 مستويات من السهولة إلى الندرة الشديدة.
المنطق بسيط: بعض الحقائق لا يمكن استنتاجها بالمنطق. إما أن النموذج شاهدها وتعلمها أثناء التدريب، أو لا يعرفها.
بعد ذلك، اختبر الباحث نماذج مفتوحة المصدر معروفة الحجم، ثم استخدم علاقة إحصائية بين أداء النموذج على هذه الأسئلة وحجمه المعروف.
النتيجة كانت علاقة قوية نسبيًا، حيث وصل R² إلى 0.917 على 89 نموذجًا مفتوحًا. وبشكل مبسّط، هذا يعني أن حجم النموذج كان يفسّر جزءًا كبيرًا من اختلاف أداء النماذج على أسئلة الحقائق النادرة.
وفي نماذج Mixture-of-Experts، وجد أن عدد المعاملات الكلي يفسّر المعرفة المخزنة أفضل من عدد المعاملات النشطة، مع R² حوالي 0.79 للمعاملات الكلية مقابل 0.51 للنشطة.
ومن هنا حاولت الورقة تقدير أحجام النماذج المغلقة، وكانت النتيجة التي أثارت النقاش أن GPT-5.5 قُدّر بحوالي 9.7T معامل، و Claude Opus 4.7 بحوالي 4T معامل.
لكن هذه الأرقام ليست رسمية، ولا تعني بالضرورة أنها الحجم الحقيقي للنماذج. الأدق أن الورقة تحاول قياس “السعة المعرفية الفعلية” للنموذج من خلال تذكّر الحقائق النادرة، ثم تحويل هذا القياس إلى تقدير تقريبي للحجم.
بعد انتشار الورقة ظهرت مراجعة مهمة للعمل وجدت مشكلتين أثّرتا بشكل واضح على هذه التقديرات.
لذلك من الأفضل قراءة الورقة كفكرة مختلفة لقياس “السعة المعرفية” للنماذج المغلقة، لا كإثبات نهائي لعدد معاملاتها الحقيقي.
الورقة طويلة وتتجاوز 70 صفحة، وفيها تفاصيل كثيرة وتحليلات إحصائية أعمق من هذا الملخص. هنا حاولت تبسيط الفكرة الأساسية، لكن أنصح بالاطلاع عليها مباشرة لمن أراد فهم المنهجية والنتائج بشكل أوسع.
⬇️ في التغريدة التالية: أبرز الملاحظات التي ظهرت بعد انتشار الورقة، وكيف غيّرت بعض التقديرات.
رابط الورقة:
arxiv.org/pdf/2604.24827
أطلقت Anthropic أداة Claude Code Security، وهي أداة ذكاء اصطناعي تقرأ الكود وتحلّله مثل فكرة Code review، فتكتشف ثغرات زي التحكم بالصلاحيات والبفر اوفر فلو الي كثير تفوّتها الأدوات التقليدية وايضا الباحثين عن الثغرات.
العجيب انه باستخدام Opus 4.6 (يعتبر مو اخر اصداراتهم بعده Opus 4.7)، اكتشف فريقهم أكثر من 500 ثغرة في مشاريع مفتوحة المصدر ظلّت مخفية لسنوات.
للأمانه باقي ما جربته ولكن متحمس للأفكار الي ممكن تطبق بيه.
المصدر:
anthropic.com/news/claude-co…
Claude Security is now in public beta for Claude Enterprise customers.
Claude scans your codebase for vulnerabilities, validates each finding to cut false positives, and suggests patches you can review and approve.
1
1,114
Mohammad Alattas | MODWare retweeted
لما يصير اختراق لسيرفر أو شبكة، عندنا “Playbook” واضح: نرجع للـ logs، نفحص الـ endpoints، نتتبع بعض الادلة… لكن لما يصير الاختراق على نظام ذكاء اصطناعي، كثير من فرق السايبر يوقفون مكانهم ويسألون: من وين نبدأ أصلاً؟
المشكلة أن الـ AI مو تطبيق عادي فيه input وoutput واضحين، هو منظومة متشعبة فيها طبقات، وكل طبقة لها سطح هجوم مستقل.
اول شيء بوضح انه هنا انا اتكلم اكثر عن تطبيقات AI، لانه موضوع الكلاود مثل حادثة Vercel وLovable لها طريقة تحقيق مختلف.
المهم خليني اكلمك عن الطبقات اللي المفروض يبدأ عندها أي تحقيق في حادثة اختراق AI، مرتبة من الأقرب للمستخدم للأعمق:
1. طبقة المدخلات (Prompt Layer)
أول مكان تبحث فيه هو سجلات الـ prompts. هل فيه Prompt Injection مباشر؟ أو الأخطر، Indirect Injection جاء من ملف PDF أو صفحة ويب أو إيميل النموذج قراه؟ كثير من الاختراقات اليوم تبدأ بنص مخفي داخل مستند يبدو بريء.
2. طبقة الـ System Prompt والـ Guardrails
افحص هل تم تسريب الـ system prompt (وهذا يحصل أكثر مما تتوقع)؟ هل فيه محاولات Jailbreak ناجحة في السجلات؟ الـ Guardrails تم تجاوزها بصياغة معينة؟
3. طبقة الـ RAG وقواعد البيانات المتجهة (Vector DBs)
إذا النظام يعتمد على RAG، فقاعدة البيانات المتجهة هي “ذاكرة” النموذج. تسميم البيانات هنا (Data Poisoning) يخلي النموذج يرد بمعلومات مزيفة أو ينفذ تعليمات خبيثة بدون ما أحد يحس. راجع مصادر الـ ingestion: من له صلاحية يضيف مستندات؟
4. طبقة الأدوات والإضافات (Tools/MCP Layer)
هنا بالذات الخطر الأكبر اليوم. الـ AI Agent لما يكون متصل بـ MCP servers أو Plugins، كل أداة هي “باب” جديد. افحص:
•وش الأدوات اللي استُدعيت وقت الحادثة؟
•فيه استدعاءات خارج النمط الطبيعي؟
•الصلاحيات الممنوحة لكل أداة (مبدأ Least Privilege مطبق؟)
5. طبقة المفاتيح والهويات (API Keys & Identity)
الـ AI Agents غالباً تشتغل بـ service accounts صلاحياتها واسعة. افحص:
•هل فيه مفاتيح API مسربة في GitHub أو في logs؟
•Tokens الـ OAuth المربوطة بالوكيل تم استخدامها بشكل غير طبيعي؟
•من عنده صلاحية fine-tune أو deploy للنموذج؟
6. طبقة المخرجات (Output Layer)
آخر شي وأهم شي: وش طلع من النموذج؟ راجع هل فيه تسريب PII في الردود؟ أوامر نُفذت على أنظمة خارجية بناء على مخرجات النموذج؟ كود خبيث تم توليده ونُفذ مباشرة؟
7. طبقة المراقبة (Observability)
وهنا نكتشف أن أغلب المؤسسات عندها فجوة ضخمة؛ ما عندهم baseline لسلوك النموذج الطبيعي. بدون baseline، ما تقدر تكتشف الشذوذ. لازم يكون عندك logging لكل tool call، كل prompt، كل retrieval.
الخلاصة: الـ AI ما يُخترق “كنموذج”، يُخترق كمنظومة. والمهاجم ما يحتاج يكسر النموذج نفسه، يكفيه يلعب على طرف واحد من هذي الأطراف السبعة.
قاعدة ذهبية في الـ DFIR للـ AI: “ابدأ من الأداة اللي استُدعيت آخر شي، وارجع للخلف”. غالباً سلسلة الاختراق تبان من هناك.
وأخيرا سؤالي لك: لو صار اختراق لـ AI Agent في جهتك اليوم، عندك الـ logs الكافية اللي تخليك تسوي تحقيق جنائي رقمي صحيح؟ أو لا؟
وسلامتكم!
لما يصير اختراق لسيرفر أو شبكة، عندنا “Playbook” واضح: نرجع للـ logs، نفحص الـ endpoints، نتتبع بعض الادلة… لكن لما يصير الاختراق على نظام ذكاء اصطناعي، كثير من فرق السايبر يوقفون مكانهم ويسألون: من وين نبدأ أصلاً؟
المشكلة أن الـ AI مو تطبيق عادي فيه input وoutput واضحين، هو منظومة متشعبة فيها طبقات، وكل طبقة لها سطح هجوم مستقل.
اول شيء بوضح انه هنا انا اتكلم اكثر عن تطبيقات AI، لانه موضوع الكلاود مثل حادثة Vercel وLovable لها طريقة تحقيق مختلف.
المهم خليني اكلمك عن الطبقات اللي المفروض يبدأ عندها أي تحقيق في حادثة اختراق AI، مرتبة من الأقرب للمستخدم للأعمق:
1. طبقة المدخلات (Prompt Layer)
أول مكان تبحث فيه هو سجلات الـ prompts. هل فيه Prompt Injection مباشر؟ أو الأخطر، Indirect Injection جاء من ملف PDF أو صفحة ويب أو إيميل النموذج قراه؟ كثير من الاختراقات اليوم تبدأ بنص مخفي داخل مستند يبدو بريء.
2. طبقة الـ System Prompt والـ Guardrails
افحص هل تم تسريب الـ system prompt (وهذا يحصل أكثر مما تتوقع)؟ هل فيه محاولات Jailbreak ناجحة في السجلات؟ الـ Guardrails تم تجاوزها بصياغة معينة؟
3. طبقة الـ RAG وقواعد البيانات المتجهة (Vector DBs)
إذا النظام يعتمد على RAG، فقاعدة البيانات المتجهة هي “ذاكرة” النموذج. تسميم البيانات هنا (Data Poisoning) يخلي النموذج يرد بمعلومات مزيفة أو ينفذ تعليمات خبيثة بدون ما أحد يحس. راجع مصادر الـ ingestion: من له صلاحية يضيف مستندات؟
4. طبقة الأدوات والإضافات (Tools/MCP Layer)
هنا بالذات الخطر الأكبر اليوم. الـ AI Agent لما يكون متصل بـ MCP servers أو Plugins، كل أداة هي “باب” جديد. افحص:
•وش الأدوات اللي استُدعيت وقت الحادثة؟
•فيه استدعاءات خارج النمط الطبيعي؟
•الصلاحيات الممنوحة لكل أداة (مبدأ Least Privilege مطبق؟)
5. طبقة المفاتيح والهويات (API Keys & Identity)
الـ AI Agents غالباً تشتغل بـ service accounts صلاحياتها واسعة. افحص:
•هل فيه مفاتيح API مسربة في GitHub أو في logs؟
•Tokens الـ OAuth المربوطة بالوكيل تم استخدامها بشكل غير طبيعي؟
•من عنده صلاحية fine-tune أو deploy للنموذج؟
6. طبقة المخرجات (Output Layer)
آخر شي وأهم شي: وش طلع من النموذج؟ راجع هل فيه تسريب PII في الردود؟ أوامر نُفذت على أنظمة خارجية بناء على مخرجات النموذج؟ كود خبيث تم توليده ونُفذ مباشرة؟
7. طبقة المراقبة (Observability)
وهنا نكتشف أن أغلب المؤسسات عندها فجوة ضخمة؛ ما عندهم baseline لسلوك النموذج الطبيعي. بدون baseline، ما تقدر تكتشف الشذوذ. لازم يكون عندك logging لكل tool call، كل prompt، كل retrieval.
الخلاصة: الـ AI ما يُخترق “كنموذج”، يُخترق كمنظومة. والمهاجم ما يحتاج يكسر النموذج نفسه، يكفيه يلعب على طرف واحد من هذي الأطراف السبعة.
قاعدة ذهبية في الـ DFIR للـ AI: “ابدأ من الأداة اللي استُدعيت آخر شي، وارجع للخلف”. غالباً سلسلة الاختراق تبان من هناك.
وأخيرا سؤالي لك: لو صار اختراق لـ AI Agent في جهتك اليوم، عندك الـ logs الكافية اللي تخليك تسوي تحقيق جنائي رقمي صحيح؟ أو لا؟
وسلامتكم!
في الأمن السيبراني، تعودنا أن الهجمات تجي من ثغرة في نظام أو إيميل احتيالي، لكن اليوم صار فيه "ناقل هجوم" جديد ومخفي: أدوات الذكاء الاصطناعي على جهازك.
كيف هذا ممكن يصير؟
في عالم السايبر، القاعدة دائماً تقول: "الثقة هي عدو الأمان"، وهذا ينطبق على مساعدك الذكي أكثر من أي وقت مضى. تذكر دائماً أن أي أداة تزيد إنتاجيتك بشكل سحري، غالباً لها ثمن أمني لازم تدفعه إذا ما كنت حذر.
1
7
885
المصادر:
hackernoob.tips/your-ai-codi…
cisomarketplace.com/blog/cis…
وسلامتكم!
