首個AI驅動惡意軟件現身，俄羅斯APT28組織操控通義大模型竊密
責編：gltian ｜2025-07-22 10:14:33烏克蘭計算機應急響應小組發現首款利用 LLM 生成攻擊指令的惡意軟件 LameHug，推測其與俄羅斯 APT28組織存在關聯。該惡意軟件通過偽裝政府文件的釣魚郵件傳播，竊取系統信息及文檔，可動態調整攻擊鏈。
烏克蘭計算機應急響應小組（CERT-UA）近日發布警報，監測到一款名為 LameHug 的新型惡意軟件。該軟件借助大語言模型（LLM），在受感染的 Windows 系統中生成并執行攻擊指令。烏克蘭專家推測該惡意軟件與俄羅斯關聯的黑客組織 APT28 有關。
CERT-UA 在警報中提到，LameHug 的突出特點是使用 LLM，依據文本描述生成可執行命令。該機構表示，“有中等把握判定這一活動與 UAC-0001（即 APT28）相關。”
2025年7月10日，CERT-UA發現一起針對政府部門的釣魚攻擊活動，攻擊者通過偽裝成政府文件的ZIP壓縮包進行傳播。
該壓縮包內含偽裝成.pif文件的LAMEHUG惡意軟件，該軟件使用Python編寫并通過PyInstaller打包。研究人員發現存在兩種不同數據竊取方式的變體。攻擊者使用了被入侵的電子郵箱賬戶，并將基礎設施托管在合法但已被攻陷的平臺上。
LAMEHUG通過huggingface[.]co服務API調用Qwen 2.5-Coder-32B-Instruct模型，基于靜態輸入的文本描述生成攻擊指令。Qwen 2.5-Coder-32B-Instruct是由阿里巴巴Qwen團隊開發的開源大語言模型，專門針對編程任務進行了優化。
該惡意軟件會收集系統信息，并在常見文件夾中搜索Office、PDF和TXT文檔。收集的數據先存儲在本地，然后通過SFTP或HTTP POST方式外傳。警報中詳細說明：“該軟件會收集計算機基本信息（硬件配置、進程、服務、網絡連接）并存儲在‘%PROGRAMDATA%\\info\\info.txt’文件中，同時遞歸搜索‘文檔’、‘下載’和‘桌面’目錄中的Microsoft Office文檔（包括TXT和PDF文件），將其復制到‘%PROGRAMDATA%\\info’文件夾。不同版本的程序會使用SFTP或HTTP POST請求外傳獲取的信息和文件?！?/p>
LameHug是已知首款利用LLM生成攻擊指令的惡意軟件，使威脅行為者能夠根據實際需求動態調整攻擊鏈。該報告還包含了相關網絡威脅指標。
轉載請注明出處@安全威脅縱橫，封面來源于網絡；
消息來源：https://securityaffairs.com/180092/apt/lamehug-first-ai-powered-malware-linked-to-russias-apt28.html