Группа Google по анализу угроз (GTIG) выявила тревожную новую тенденцию: появление семейств вредоносного ПО на базе ИИ, которые используют большие языковые модели (LLM) для динамической генерации и маскировки вредоносного кода. Это знаменует собой значительную эскалацию киберугроз, причем некоторые из этих изощренных инструментов уже используются в активных атаках, особенно нацеленных на криптовалютные активы.
Ключевые выводы
-
Выявлено пять различных семейств вредоносного ПО, которые во время выполнения запрашивают LLM, такие как Gemini и Qwen2.5-Coder, для изменения или создания кода.
-
Группа, связанная с Северной Кореей, UNC1069, была замечена в использовании ИИ для проверки криптовалютных кошельков и создания изощренных фишинговых скриптов.
-
Google приняла меры, отключив связанные учетные записи и внедрив усиленные меры безопасности для предотвращения дальнейшего злоупотребления своими моделями ИИ.
Рост вредоносного ПО с поддержкой ИИ
Последний отчет Google подчеркивает сдвиг в тактике киберпреступников, выходящий за рамки традиционного вредоносного ПО с жестко закодированным кодом. Недавно выявленные семейства вредоносного ПО используют LLM в подходе «создание кода по мере необходимости». Это позволяет им динамически генерировать вредоносные скрипты, маскировать свой код для обхода обнаружения программами безопасности и создавать вредоносные функции по запросу. Такая адаптивность делает вредоносное ПО значительно труднее обнаружить и нейтрализовать с помощью обычных инструментов безопасности.
Известные семейства вредоносного ПО и их тактика
Двумя яркими примерами этого нового поколения вредоносного ПО являются PROMPTFLUX и PROMPTSTEAL. PROMPTFLUX использует модуль «Думающий робот», который ежечасно запрашивает API Gemini для переписывания своего VBScript-кода с целью создания развивающегося, метаморфного скрипта. PROMPTSTEAL, связанный с российской группой APT28, использует модель Qwen для генерации команд Windows по запросу, что позволяет проводить индивидуальные операции без предварительного программирования.
Участие Северной Кореи в краже криптовалют
В отчете особо выделяется северокорейская группа злоумышленников UNC1069 (также известная как Masan). Было замечено, что эта группа злоупотребляет Gemini в кампаниях по краже криптовалют. Их деятельность включает проверку данных криптовалютных кошельков, генерацию скриптов для доступа к зашифрованным хранилищам и составление многоязычного фишингового контента, нацеленного на сотрудников криптобирж. Эти усилия, по-видимому, являются частью более широкой стратегии по краже цифровых активов.
Реакция Google и будущие последствия
В ответ на эти выводы Google отключила учетные записи, связанные с выявленной вредоносной деятельностью, и ужесточила меры безопасности, связанные с доступом к моделям. Это включает усовершенствованные фильтры запросов и усиленный мониторинг доступа к API. Появление вредоносного ПО на базе ИИ представляет собой новую поверхность атаки, потенциально позволяющую злоумышленникам создавать высокодостоверные фишинговые приманки и скрипты для эксфильтрации с беспрецедентной точностью. Эта тенденция предполагает растущую изощренность киберпреступности, при этом инструменты ИИ становятся все более неотъемлемой частью вредоносных операций.
Источники
-
Google Threat Report Links AI-powered Malware to DPRK Crypto Theft, Decrypt.
-
Google warns of AI-powered malware targeting crypto users, Invezz.
-
Google issues security warning for millions — AI-powered malware is here, Tom's Guide.
-
Google warns of new AI-powered malware families deployed in the wild, BleepingComputer.
-
Google flags 5 AI-powered malware families linked to DPRK crypto theft, Crypto News.
Эта статья была создана с поддержкой технологий, основанных на искусственном интеллекте, с использованием множества авторитетных источников. Финальный контент был тщательно проверен и отредактирован редакционной командой BlockzHub для обеспечения точности, ясности и согласованности. Оригинальные источники информации указаны, когда это необходимо и уместно. Мнения, выраженные в этой статье, не обязательно отражают официальные взгляды или позиции BlockzHub. Эта статья предназначена исключительно для информационных целей и не должна восприниматься как финансовый или профессиональный совет. Инвестирование связано с рисками, и перед принятием инвестиционных решений следует проконсультироваться с квалифицированным финансовым консультантом.