З’явився перший вірус-вимагач PromptLock, який використовує локальну модель штучного інтелектудля створення своїх шкідливих компонентів. Дослідницька команда ESET, яка виявила це програмне забезпечення, назвала його PromptLock. Воно використовує модель OpenAI для створення власних кросплатформних скриптів Lua для свого ланцюжка атак.
Про це пише Cyber Security News.
Хоча шкідливе програмне забезпечення виглядає як прототип (PoC) і ще не розгорнуте в активних кампаніях, його нова архітектура являє собою значну та тривожну еволюцію в розробці шкідливих програм. Він демонструє, як зловмисники починають інтегрувати локальні великі мовні моделі (LLM) для створення більш динамічних та небезпечних загроз.
Реклама
Генерація коду «на льоту»PromptLock написаний мовою Golang і був виявлений як у варіантах Windows, так і в Linux у репозиторії VirusTotal.
Його основна функціональність відрізняється від традиційного програмного забезпечення-вимагача, яке зазвичай містить попередньо скомпільовану шкідливу логіку. Натомість PromptLock містить жорстко запрограмовані запити,
які він передає локально запущеній моделі, як от OpenAI gpt-oss-20.
Аналіз мережевого трафіку шкідливого програмного забезпечення виявив POSTзапити до локальної кінцевої точки API Ollama (172.42.0[.]253:8443). Ці запити містять підказки, що вказують моделі штучного інтелекту діяти як «генератор коду Lua».
Підказки дають моделі завдання створювати скрипти для певних шкідливих дій, зокрема:
Реклама
- Перерахування систем: генерація коду Lua для збору системних параметрів, таких як тип ОС, ім’я користувача, ім’я хоста та поточний робочий каталог. У запитах спеціально вимагають кросплатформної сумісності для Windows, Linux та macOS.
- Перевірка файлової системи: створення скриптів для сканування локальної файлової системи, ідентифікації цільових файлів та аналізу їхнього вмісту з інструкціями щодо пошуку особистої інформації або конфіденційної інформації.
- Вилучення та шифрування даних: Після ідентифікації цільових файлів виконуються скрипти, згенеровані штучним інтелектом, для обробки даних та подальшого шифрування.
— пояснюють аналітики.
Для свого корисного навантаження шифрування PromptLock використовує 128-бітний блочний шифр SPECK — легкий алгоритм, що підходить для цієї гнучкої моделі атаки.
Дослідники ESET наголошують, що численні показники свідчать про те, що PromptLock все ще перебуває на стадії розробки. Наприклад, функція, призначена для знищення даних, здається, визначена, але ще не реалізована.
«Ще більшої інтриги додає незвичайний артефакт, знайдений в одній із підказок: адреса біткойна, яка, ймовірно, належить Сатоші Накамото (псевдонім творця біткойна). Хоча це, ймовірно, тимчасовий фрагмент або введення в оману, він додає своєрідну сигнатуру цьому шкідливому програмному забезпеченню на ранній стадії», — йдеться у матеріалі.
Реклама
Попри статус PoC, ESET вирішила публічно оприлюднити свої висновки.
«Ми вважаємо своїм обов’язком інформувати спільноту кібербезпеки про такі події», — заявили дослідники, наголосивши на необхідності проактивного захисту від цього нового вектора загроз.
Оскільки LLM стають потужнішими та доступнішими, команди безпеки повинні готуватися до майбутнього,
де шкідливе програмне забезпечення більше не буде статичним, а генеруватиметься динамічно на машинах потенційних жертв.
Читайте також
-
Дата публікації 09:32, 23.08.25 Категорія Наука та IT Кількість переглядів 1014 Хакери атакували Google та викрали дані мільярдів користувачів: як захистити себе Автор публікації
Софія Бригадир
-
Дата публікації 16:38, 25.08.25 Категорія Наука та IT Кількість переглядів 1218 Експерт розповів, чому небезпечно використовувати загальний Wi-Fi Автор публікації
Наталія Магдик
-
Дата публікації 15:26, 20.08.25 Категорія Наука та IT Кількість переглядів 5063 Мільярди користувачів під загрозою: Google випустив екстрене попередження Автор публікації
Руслана Сивак
-
Дата публікації 16:49, 26.08.25 Категорія Гламур Кількість переглядів 10k Вілл Сміт опинився у центрі гучного скандалу через ШІ Автор публікації
Злата Ковтун
