Google dijo el miércoles que descubrió un actor de amenazas desconocido que utilizaba un malware experimental Visual Basic Script (VB Script) denominado PROMPTFLUX que interactúa con su API modelo de inteligencia artificial (IA) Gemini para escribir su propio código fuente para mejorar la ofuscación y la evasión.
«PROMPTFLUX está escrito en VBScript e interactúa con la API de Gemini para solicitar técnicas específicas de ofuscación y evasión de VBScript para facilitar la automodificación ‘justo a tiempo’, probablemente para evadir la detección estática basada en firmas», dijo Google Threat Intelligence Group (GTIG) en un informe compartido con The Hacker News.
La novedosa característica es parte de su componente «Thinking Robot», que consulta periódicamente el modelo de lenguaje grande (LLM), Gemini 1.5 Flash o posterior en este caso, para obtener nuevo código y evitar la detección. Esto, a su vez, se logra mediante el uso de una clave API codificada para enviar la consulta al punto final de la API de Gemini.
El mensaje enviado al modelo es muy específico y analizable por máquina, solicita cambios en el código de VB Script para evadir el antivirus e indica al modelo que genere solo el código en sí.
Dejando a un lado la capacidad de regeneración, el malware guarda la nueva versión ofuscada en la carpeta de inicio de Windows para establecer persistencia e intenta propagarse copiándose en unidades extraíbles y recursos compartidos de red mapeados.
«Aunque la función de automodificación (AttemptToUpdateSelf) está comentada, su presencia, combinada con el registro activo de las respuestas de la IA a ‘%TEMP%thinking_robot_log.txt’, indica claramente el objetivo del autor de crear un script metamórfico que pueda evolucionar con el tiempo», añadió Google.
El gigante tecnológico también dijo que descubrió múltiples variaciones de PROMPTFLUX que incorporan regeneración de código impulsada por LLM, y una versión utiliza un mensaje para reescribir todo el código fuente del malware cada hora indicando al LLM que actúe como un «ofuscador experto de VB Script».
Se considera que PROMPTFLUX se encuentra en fase de desarrollo o prueba, y el malware actualmente carece de medios para comprometer la red o el dispositivo de la víctima. Actualmente no se sabe quién está detrás del malware, pero los indicios apuntan a un actor de amenazas motivado financieramente que ha adoptado un enfoque amplio, independiente de la geografía y la industria para atacar a una amplia gama de usuarios.
Google también señaló que los adversarios están yendo más allá de utilizar la IA para obtener simples ganancias de productividad y crear herramientas que sean capaces de ajustar su comportamiento en medio de la ejecución, sin mencionar el desarrollo de herramientas diseñadas específicamente para luego venderlas en foros clandestinos para obtener ganancias financieras. Algunos de los otros casos de malware impulsado por LLM observados por la empresa son los siguientes:
- CÁSCARA DE FRUTAun shell inverso escrito en PowerShell que incluye mensajes codificados para evitar la detección o el análisis de los sistemas de seguridad basados en LLM.
- BLOQUEO INMEDIATAun ransomware multiplataforma escrito en Go que utiliza un LLM para generar y ejecutar dinámicamente scripts Lua maliciosos en tiempo de ejecución (identificado como una prueba de concepto)
- ROBO INMEDIATA (también conocido como LAMEHUG), un minero de datos utilizado por el actor patrocinado por el estado ruso APT28 en ataques dirigidos a Ucrania que consulta Qwen2.5-Coder-32B-Instruct para generar comandos para su ejecución a través de la API para Hugging Face
- QUIETVAULTun ladrón de credenciales escrito en JavaScript que apunta a tokens de GitHub y NPM
Desde el punto de vista de Gemini, la compañía dijo que observó a un actor de amenazas del nexo con China abusando de su herramienta de inteligencia artificial para crear contenido atractivo convincente, construir infraestructura técnica y diseñar herramientas para la filtración de datos.
En al menos un caso, se dice que el actor de la amenaza reformuló sus indicaciones identificándose como participante en un ejercicio de captura de bandera (CTF) para sortear las barreras de seguridad y engañar al sistema de inteligencia artificial para que devuelva información útil que puede aprovecharse para explotar un punto final comprometido.
«El actor pareció aprender de esta interacción y utilizó el pretexto CTF para apoyar el phishing, la explotación y el desarrollo de web shell», dijo Google. «El actor precedió muchas de sus indicaciones sobre la explotación de software y servicios de correo electrónico específicos con comentarios como ‘Estoy trabajando en un problema de CTF’ o ‘Actualmente estoy en un CTF y vi a alguien de otro equipo decir…’ Este enfoque brindó consejos sobre los próximos pasos de explotación en un ‘escenario CTF'».
A continuación se enumeran otros casos de abuso de Gemini por parte de actores patrocinados por estados de China, Irán y Corea del Norte para optimizar sus operaciones, incluido el reconocimiento, la creación de señuelos de phishing, el desarrollo de comando y control (C2) y la exfiltración de datos:
- El uso indebido de Gemini por parte de un presunto actor del nexo con China en diversas tareas, que van desde realizar un reconocimiento inicial de objetivos de interés y técnicas de phishing hasta entregar cargas útiles y buscar asistencia sobre movimientos laterales y métodos de exfiltración de datos.
- El mal uso de Géminis por parte del actor-estado-nación iraní APT41 para obtener ayuda sobre la ofuscación de código y el desarrollo de código C++ y Golang para múltiples herramientas, incluido un marco C2 llamado OSSTUN
- El mal uso de Géminis por parte del actor-estado-nación iraní FangosoAgua (también conocido como Mango Sandstorm, MUDDYCOAST o TEMP.Zagros) para realizar investigaciones que respalden el desarrollo de malware personalizado para respaldar la transferencia de archivos y la ejecución remota, mientras eluden las barreras de seguridad al afirmar ser un estudiante que trabaja en un proyecto universitario final o escribe un artículo sobre ciberseguridad.
- El mal uso de Géminis por parte del actor-estado-nación iraní APT42 (también conocido como Charming Kitten y Mint Sandstorm) para crear material para campañas de phishing que a menudo implican hacerse pasar por personas de grupos de expertos, traducir artículos y mensajes, investigar la defensa israelí y desarrollar un «agente de procesamiento de datos» que convierte solicitudes de lenguaje natural en consultas SQL para obtener información a partir de datos confidenciales.
- El mal uso de Géminis por parte del actor de amenazas norcoreano UNC1069 (también conocido como CryptoCore o MASAN): uno de los dos grupos junto con TraderTraitor (también conocido como PUKCHONG o UNC4899) que sucedió al ahora desaparecido APT38 (también conocido como BlueNoroff): para generar material señuelo para ingeniería social, desarrollar código para robar criptomonedas y elaborar instrucciones fraudulentas que se hacen pasar por una actualización de software para extraer credenciales de usuario.
- El mal uso de Géminis por comerciantetraidor Desarrollar código, investigar exploits y mejorar sus herramientas.
Además, GTIG dijo que recientemente observó que UNC1069 empleaba imágenes y videos falsos que se hacían pasar por personas en la industria de las criptomonedas en sus campañas de ingeniería social para distribuir una puerta trasera llamada BIGMACHO a los sistemas de las víctimas bajo la apariencia de un kit de desarrollo de software (SDK) Zoom. Vale la pena señalar que algunos aspectos de la actividad comparten similitudes con la campaña GhostCall revelada recientemente por Kaspersky.
El desarrollo se produce cuando Google dijo que espera que los actores de amenazas «pasen decisivamente de usar la IA como una excepción a usarla como la norma» para aumentar la velocidad, el alcance y la efectividad de sus operaciones, permitiéndoles así montar ataques a escala.
«La creciente accesibilidad de potentes modelos de IA y el creciente número de empresas que los integran en las operaciones diarias crean las condiciones perfectas para ataques de inyección rápidos», afirmó. «Los actores de amenazas están refinando rápidamente sus técnicas, y la naturaleza de bajo costo y alta recompensa de estos ataques los convierte en una opción atractiva».