Google dijo el miércoles que descubrió a un actor de amenazas desconocido utilizando un malware experimental de Visual Basic Script (VB Script) denominado FLUJO RÁPIDO que interactúa con su API modelo de inteligencia artificial (IA) Gemini para escribir su propio código fuente a fin de mejorar la ofuscación y la evasión.
«PROMPTFLUX está escrito en VBScript e interactúa con la API de Gemini para solicitar técnicas específicas de ofuscación y evasión de VBScript a fin de facilitar la automodificación «justo a tiempo», lo que probablemente evite la detección basada en firmas estáticas», dijo Google Threat Intelligence Group (GTIG) dijo en un informe compartido con The Hacker News.
La novedosa función forma parte de su componente «Thinking Robot», que consulta periódicamente el modelo de lenguaje grande (LLM), Gemini 1.5 Flash o más adelante en este caso, para obtener un nuevo código con el fin de eludir la detección. Esto, a su vez, se logra mediante el uso de una clave de API codificada para enviar la consulta al punto final de la API de Gemini.
La solicitud que se envía al modelo es muy específica y se puede analizar automáticamente, ya que solicita cambios en el código de VB Script para evadir el antivirus e indica al modelo que muestre solo el código en sí.
Dejando a un lado la capacidad de regeneración, el malware guarda la nueva versión ofuscada en la carpeta de inicio de Windows para establecer la persistencia e intenta propagarse copiándose a sí mismo en unidades extraíbles y recursos compartidos de red mapeados.
«Aunque la función de automodificación (AtemptToUpdateSelf) está comentada, su presencia, combinada con el registro activo de las respuestas de la IA a '%TEMP%\ thinking_robot_log.txt ', indica claramente el objetivo del autor de crear un script metamórfico que pueda evolucionar con el tiempo», añade Google.
El gigante tecnológico también dijo que descubrió múltiples variaciones de PROMPTFLUX que incorporaban la regeneración de código basada en LLM, y una versión utilizaba un mensaje para reescribir todo el código fuente del malware cada hora, ordenando al LLM que actuara como un «experto en ofuscadores de VB Script».
Se evalúa que PROMPTFLUX se encuentra en fase de desarrollo o prueba, y que el malware actualmente carece de medios para comprometer la red o el dispositivo de la víctima. Actualmente no se sabe quién está detrás del malware, pero hay indicios de que se trata de un actor de amenazas con motivaciones financieras que ha adoptado un enfoque amplio, independiente de la geografía y del sector, para dirigirse a una amplia gama de usuarios.
Google también señaló que los adversarios van más allá de utilizar la IA para obtener simples ganancias de productividad y crean herramientas que son capaces de ajustar su comportamiento en medio de la ejecución, sin mencionar el desarrollo de herramientas especialmente diseñadas que luego se venden en foros clandestinos para obtener beneficios económicos. Algunos de los otros casos de malware con tecnología de LLM observados por la empresa son los siguientes:
- CÁSCARA DE FRUTA , una consola inversa escrita en PowerShell que incluye instrucciones codificadas para evitar la detección o el análisis de los sistemas de seguridad impulsados por LLM
- BLOQUEO RÁPIDO , un ransomware multiplataforma escrito en Go que utiliza un LLM para generar y ejecutar de forma dinámica scripts Lua maliciosos en tiempo de ejecución (identificado como prueba de concepto)
- ROBA RÁPIDAMENTE (también conocido como LAMEHUG), un minero de datos utilizado por el actor APT28, patrocinado por el estado ruso, en ataques contra Ucrania que consulta Qwen2.5-Coder-32B-Instruct para generar comandos para su ejecución a través de la API de Hugging Face
- BÓVEDA SILENCIOSA , un ladrón de credenciales escrito en JavaScript que apunta a los tokens de GitHub y NPM
Desde el punto de vista de Gemini, la empresa dijo que había observado a un actor de amenazas del nexo entre China y China que abusaba de su herramienta de inteligencia artificial para crear contenido convincente y atraer, crear infraestructura técnica y diseñar herramientas para la exfiltración de datos.
Al menos en un caso, se dice que el actor de la amenaza reformuló sus instrucciones identificándose como participante en un ejercicio de captura de la bandera (CTF) para eludir las barreras y engañar al sistema de IA para que devolviera información útil que pudiera aprovecharse para aprovechar un punto final comprometido.
«El actor pareció aprender de esta interacción y usó el pretexto de la CTF para apoyar el phishing, la explotación y el desarrollo de plataformas web», dijo Google. «El actor comenzó muchas de sus sugerencias sobre la explotación de software y servicios de correo electrónico específicos con comentarios como: «Estoy solucionando un problema con la CTF» o «Estoy trabajando actualmente en una CTF y he visto a alguien de otro equipo decir...» Este enfoque ofrecía consejos sobre las siguientes etapas de explotación en un «escenario de CTF».»
A continuación se enumeran otros casos de abuso de Gemini por parte de actores patrocinados por el estado de China, Irán y Corea del Norte para agilizar sus operaciones, incluidos el reconocimiento, la creación de señuelos de suplantación de identidad, el desarrollo de comando y control (C2) y la exfiltración de datos -
- El uso indebido de Gemini por parte de un presunto actor vinculado con China para realizar diversas tareas, que van desde realizar un reconocimiento inicial de objetivos de interés y técnicas de suplantación de identidad hasta entregar cargas útiles y solicitar ayuda sobre los métodos de movimiento lateral y filtración de datos
- El mal uso de Géminis por parte de un actor del estado-nación iraní APARTAMENTO 41 para obtener ayuda sobre la ofuscación del código y el desarrollo de código en C++ y Golang para múltiples herramientas, incluido un marco C2 llamado OSSTUN
- El mal uso de Géminis por parte de un actor del estado-nación iraní Agua fangosa (también conocidos como Mango Sandstorm, MUDDYCOAST o TEMP.zagros) para realizar investigaciones que respalden el desarrollo de malware personalizado que permita la transferencia de archivos y la ejecución remota, al tiempo que eluden las barreras de seguridad al afirmar que es un estudiante que trabaja en un proyecto universitario final o que escribe un artículo sobre ciberseguridad
- El mal uso de Géminis por parte de un actor del estado-nación iraní APT 42 (también conocidas como Charming Kitten y Mint Sandstorm) para crear material para campañas de suplantación de identidad que suelen implicar hacerse pasar por personas de grupos de expertos, traducir artículos y mensajes, investigar la defensa israelí y desarrollar un «agente de procesamiento de datos» que convierta las solicitudes en lenguaje natural en consultas de SQL para obtener información a partir de datos confidenciales
- El mal uso de Gemini por parte de un actor de amenazas norcoreano UNC1069 (también conocido como CryptoCore o MASAN), uno de los dos clústeres junto con TraderTraitor (también conocido como PUKCHONG o UNC4899) que ha sucedido al ya desaparecido APT38 (también conocido como BlueNoroff), para generar material atractivo para la ingeniería social, desarrollar código para robar criptomonedas y elaborar instrucciones fraudulentas que se hacen pasar por una actualización de software para extraer las credenciales de los usuarios
- El mal uso de Géminis por Trader traidor para desarrollar código, investigar vulnerabilidades y mejorar sus herramientas
Además, GTIG dijo que recientemente observó que la UNC1069 empleaba imágenes y vídeos falsos con señuelos de vídeo que se hacían pasar por personas de la industria de las criptomonedas en sus campañas de ingeniería social para distribuir una puerta trasera llamada BIGMACHO a los sistemas de las víctimas con la apariencia de un kit de desarrollo de software (SDK) de Zoom. Vale la pena señalar que algunos aspectos de la actividad comparten similitudes con los Campaña GhostCall divulgado recientemente por Kaspersky.
La novedad se produce cuando Google dijo que espera que los actores de amenazas «pasen de usar la IA como excepción a usarla como norma» para aumentar la velocidad, el alcance y la eficacia de sus operaciones, lo que les permitirá organizar ataques a gran escala.
«La creciente accesibilidad de los potentes modelos de inteligencia artificial y el creciente número de empresas que los integran en las operaciones diarias crean las condiciones perfectas para los ataques de inyección rápidos», dijo dijo . «Los actores de amenazas están perfeccionando rápidamente sus técnicas, y la naturaleza de estos ataques, de bajo costo y alta recompensa, los convierte en una opción atractiva».