谷歌威胁情报小组 (GTIG) 发现了一个令人担忧的新趋势：出现了一种由人工智能驱动的恶意软件家族，它们利用大型语言模型 (LLM) 来动态生成和混淆恶意代码。这标志着网络威胁的重大升级，其中一些复杂的工具已经被用于实际攻击，特别是针对加密货币资产。
主要收获
-
已识别出五个不同的恶意软件家族，它们在执行过程中会查询 Gemini 和 Qwen2.5-Coder 等大型语言模型来修改或创建代码。
-
已观察到一个与朝鲜有关的组织 UNC1069 利用人工智能探测加密货币钱包并制作复杂的网络钓鱼脚本。
-
谷歌已采取行动，禁用相关账户并实施增强的安全措施，以防止其人工智能模型被进一步滥用。
人工智能赋能的恶意软件的兴起
谷歌的最新报告强调了网络犯罪分子策略的转变，他们不再局限于传统的硬编码恶意软件。新识别出的恶意软件家族采用“即时代码创建”方法利用大型语言模型。这使它们能够动态生成恶意脚本，混淆其代码以逃避安全软件的检测，并按需创建恶意功能。这种适应性使得使用传统安全工具检测和缓解这些恶意软件变得更加困难。
值得注意的恶意软件家族及其策略
这种新型恶意软件的两个突出例子是 PROMPTFLUX 和 PROMPTSTEAL。PROMPTFLUX 采用“思考机器人”模块，每小时查询 Gemini 的 API 来重写其 VBScript 代码，旨在创建不断演变的、变形的脚本。PROMPTSTEAL 与俄罗斯的 APT28 组织有关，它使用 Qwen 模型按需生成 Windows 命令，从而无需预先编程即可实现定制化操作。
朝鲜参与加密货币盗窃
该报告特别提到了朝鲜威胁行为者组织 UNC1069（也称为 Masan）。已观察到该组织滥用 Gemini 进行加密货币盗窃活动。他们的活动包括探测加密货币钱包数据、生成访问加密存储的脚本以及撰写针对加密货币交易所员工的多语言网络钓鱼内容。这些努力似乎是窃取数字资产更广泛战略的一部分。
谷歌的回应和未来影响
为应对这些发现，谷歌已禁用与已识别的恶意活动相关的账户，并加强了模型访问的安全措施。这包括改进的提示过滤器和增加的 API 访问监控。人工智能驱动的恶意软件的出现带来了新的攻击面，可能使攻击者能够以前所未有的精度制作高度可信的网络钓鱼诱饵和数据泄露脚本。这一趋势表明网络犯罪的复杂性日益增加，人工智能工具正日益成为恶意活动不可或缺的一部分。
来源
-
谷歌威胁报告将人工智能驱动的恶意软件与朝鲜加密货币盗窃联系起来，Decrypt。
-
谷歌警告人工智能驱动的恶意软件针对加密货币用户，Invezz。
-
谷歌向数百万人发出安全警告——人工智能驱动的恶意软件已到来，Tom's Guide。
-
谷歌警告已在野外部署的新型人工智能驱动的恶意软件家族，BleepingComputer。
-
谷歌标记 5 个与朝鲜加密货币盗窃有关的人工智能驱动的恶意软件家族，Crypto News。
本文借助人工智能技术支持，参考多个权威来源编写而成。最终内容已由BlockzHub编辑团队进行全面审查和编辑，以确保准确性、清晰度和连贯性。原始报道来源在适当且必要时均予以注明。本文中表达的观点不一定代表BlockzHub的官方立场或观点。本文仅供信息参考，不应被视为财务或专业建议。投资涉及风险，在做出任何投资决策之前，您应咨询合格的财务顾问。