El Grupo de Inteligencia de Amenazas de Google (GTIG) ha identificado una nueva tendencia preocupante: la aparición de familias de malware impulsadas por IA que aprovechan los modelos de lenguaje grandes (LLM) para generar y ofuscar dinámicamente código malicioso. Esto marca una escalada significativa en las amenazas cibernéticas, con algunas de estas sofisticadas herramientas ya desplegadas en ataques activos, particularmente dirigidas a activos de criptomonedas.
Puntos Clave
-
Se han identificado cinco familias de malware distintas que consultan LLM como Gemini y Qwen2.5-Coder durante la ejecución para modificar o crear código.
-
Se ha observado a un grupo vinculado a Corea del Norte, UNC1069, utilizando IA para sondear billeteras de criptomonedas y crear sofisticados scripts de phishing.
-
Google ha tomado medidas deshabilitando cuentas asociadas e implementando salvaguardias mejoradas para prevenir un mayor uso indebido de sus modelos de IA.
El Auge del Malware Habilitado por IA
El último informe de Google destaca un cambio en las tácticas de los ciberdelincuentes, yendo más allá del malware tradicional codificado de forma rígida. Las familias de malware recién identificadas utilizan LLM en un enfoque de "creación de código justo a tiempo". Esto les permite generar dinámicamente scripts maliciosos, ofuscar su código para evadir la detección por parte del software de seguridad y crear funciones maliciosas bajo demanda. Esta naturaleza adaptativa hace que el malware sea significativamente más difícil de detectar y mitigar utilizando herramientas de seguridad convencionales.
Familias de Malware Notables y sus Tácticas
Dos ejemplos prominentes de esta nueva generación de malware son PROMPTFLUX y PROMPTSTEAL. PROMPTFLUX emplea un módulo de "Robot Pensante" que consulta la API de Gemini cada hora para reescribir su código VBScript, con el objetivo de crear un script evolutivo y metamórfico. PROMPTSTEAL, vinculado al grupo APT28 de Rusia, utiliza el modelo Qwen para generar comandos de Windows bajo demanda, permitiendo operaciones personalizadas sin preprogramación.
Involucramiento de Corea del Norte en el Robo de Criptomonedas
El informe señala específicamente al grupo de actores de amenazas norcoreano UNC1069 (también conocido como Masan). Se ha observado a este grupo haciendo un uso indebido de Gemini para campañas de robo de criptomonedas. Sus actividades incluyen sondear datos de billeteras de criptomonedas, generar scripts para acceder a almacenamiento cifrado y componer contenido de phishing multilingüe dirigido a empleados de exchanges de criptomonedas. Estos esfuerzos parecen ser parte de una estrategia más amplia para robar activos digitales.
Respuesta de Google e Implicaciones Futuras
En respuesta a estos hallazgos, Google ha deshabilitado cuentas vinculadas a las actividades maliciosas identificadas y ha reforzado las salvaguardias en torno al acceso a los modelos. Esto incluye filtros de indicaciones refinados y un mayor monitoreo del acceso a la API. La aparición de malware impulsado por IA presenta una nueva superficie de ataque, que potencialmente permite a los atacantes crear señuelos de phishing y scripts de exfiltración altamente creíbles con una precisión sin precedentes. La tendencia sugiere una creciente sofisticación en el cibercrimen, con herramientas de IA cada vez más integrales en las operaciones maliciosas.
Fuentes
-
Google Threat Report Links AI-powered Malware to DPRK Crypto Theft, Decrypt.
-
Google warns of AI-powered malware targeting crypto users, Invezz.
-
Google issues security warning for millions — AI-powered malware is here, Tom's Guide.
-
Google warns of new AI-powered malware families deployed in the wild, BleepingComputer.
-
Google flags 5 AI-powered malware families linked to DPRK crypto theft, Crypto News.
Este artículo fue creado con el apoyo de tecnología impulsada por IA, basándose en múltiples fuentes reputadas. El contenido final ha sido revisado y editado minuciosamente por el equipo editorial de BlockzHub para garantizar precisión, claridad y coherencia. Las fuentes originales de los informes se citan siempre que sea apropiado y necesario. Las opiniones expresadas en este artículo no representan necesariamente los puntos de vista o posiciones oficiales de BlockzHub. Este artículo tiene únicamente fines informativos y no debe considerarse asesoramiento financiero o profesional. Invertir implica riesgos, y se recomienda consultar a un asesor financiero calificado antes de tomar decisiones de inversión.