Il Google Threat Intelligence Group (GTIG) ha identificato una nuova tendenza preoccupante: l'emergere di famiglie di malware basate sull'IA che sfruttano i modelli linguistici di grandi dimensioni (LLM) per generare e offuscare dinamicamente codice dannoso. Questo segna una significativa escalation nelle minacce informatiche, con alcuni di questi strumenti sofisticati già impiegati in attacchi attivi, in particolare contro asset di criptovalute.
Punti chiave
-
Sono state identificate cinque distinte famiglie di malware che interrogano LLM come Gemini e Qwen2.5-Coder durante l'esecuzione per modificare o creare codice.
-
Un gruppo collegato alla Corea del Nord, UNC1069, è stato osservato utilizzare l'IA per sondare portafogli di criptovalute e creare sofisticati script di phishing.
-
Google ha agito disabilitando gli account associati e implementando salvaguardie migliorate per prevenire ulteriori abusi dei suoi modelli di IA.
L'ascesa del malware abilitato dall'IA
L'ultimo rapporto di Google evidenzia un cambiamento nelle tattiche dei criminali informatici, che vanno oltre il tradizionale malware codificato. Le famiglie di malware recentemente identificate utilizzano gli LLM in un approccio di "creazione di codice just-in-time". Ciò consente loro di generare dinamicamente script dannosi, offuscare il loro codice per eludere il rilevamento da parte del software di sicurezza e creare funzioni dannose su richiesta. Questa natura adattiva rende il malware significativamente più difficile da rilevare e mitigare utilizzando strumenti di sicurezza convenzionali.
Famiglie di malware degne di nota e le loro tattiche
Due esempi di spicco di questa nuova generazione di malware sono PROMPTFLUX e PROMPTSTEAL. PROMPTFLUX impiega un modulo "Thinking Robot" che interroga ogni ora l'API di Gemini per riscrivere il suo codice VBScript, con l'obiettivo di creare uno script metamorfico in evoluzione. PROMPTSTEAL, collegato al gruppo APT28 della Russia, utilizza il modello Qwen per generare comandi Windows su richiesta, consentendo operazioni personalizzate senza pre-programmazione.
Coinvolgimento nordcoreano nel furto di criptovalute
Il rapporto cita specificamente il gruppo di attori minacciosi nordcoreano UNC1069 (noto anche come Masan). Questo gruppo è stato osservato abusare di Gemini per campagne di furto di criptovalute. Le loro attività includono la ricerca di dati di portafogli di criptovalute, la generazione di script per accedere a storage crittografati e la composizione di contenuti di phishing multilingue rivolti ai dipendenti di exchange di criptovalute. Questi sforzi sembrano far parte di una strategia più ampia per rubare asset digitali.
Risposta di Google e implicazioni future
In risposta a queste scoperte, Google ha disabilitato gli account collegati alle attività dannose identificate e ha rafforzato le salvaguardie sull'accesso ai modelli. Ciò include filtri prompt raffinati e un maggiore monitoraggio dell'accesso alle API. L'emergere di malware basati sull'IA presenta una nuova superficie di attacco, potenzialmente consentendo agli aggressori di creare esche di phishing e script di esfiltrazione altamente credibili con una precisione senza precedenti. La tendenza suggerisce una crescente sofisticazione nel cybercrimine, con gli strumenti di IA che diventano sempre più parte integrante delle operazioni dannose.
Fonti
-
Google Threat Report Links AI-powered Malware to DPRK Crypto Theft, Decrypt.
-
Google warns of AI-powered malware targeting crypto users, Invezz.
-
Google issues security warning for millions — AI-powered malware is here, Tom's Guide.
-
Google warns of new AI-powered malware families deployed in the wild, BleepingComputer.
-
Google flags 5 AI-powered malware families linked to DPRK crypto theft, Crypto News.
Questo articolo è stato creato con il supporto di una tecnologia basata sull'intelligenza artificiale, attingendo a molteplici fonti affidabili. Il contenuto finale è stato accuratamente revisionato e modificato dal team editoriale di BlockzHub per garantire accuratezza, chiarezza e coerenza. Le fonti originali delle informazioni vengono citate ove appropriato e necessario. Le opinioni espresse in questo articolo non rappresentano necessariamente le posizioni o i punti di vista ufficiali di BlockzHub. Questo articolo ha esclusivamente scopo informativo e non deve essere considerato come consulenza finanziaria o professionale. Investire comporta dei rischi ed è consigliabile consultare un consulente finanziario qualificato prima di prendere qualsiasi decisione di investimento.