Neues LameHug-Malware nutzt LLMs zur dynamischen Befehlserstellung
Picus Security hat LameHug dokumentiert, die erste öffentlich bekannte Malware, die ein LLM (Large Language Model) zur dynamischen Befehlserstellung integriert. Die Malware wird der russischen APT28-Gruppe zugeordnet.
Das Cybersicherheitsunternehmen Picus Security hat LameHug identifiziert und detailliert beschrieben. Diese neue Schadsoftware stellt eine bedeutende Entwicklung im Bereich der Cyberbedrohungen dar. Sie ist der erste öffentlich dokumentierte Fall, in dem Malware ein Large Language Model (LLM) zur dynamischen Generierung von Befehlen einsetzt. Die Malware wird der russischen, staatlich geförderten Bedrohungsgruppe APT28, auch bekannt als Fancy Bear oder Sofacy, zugeordnet.
LameHug wurde Mitte 2025 entdeckt und im Rahmen einer Kampagne gegen ukrainische Regierungsbehörden während des anhaltenden Konflikts eingesetzt. Ihr Hauptmerkmal ist die Fähigkeit, ein Cloud-basiertes LLM, wie das Qwen-Modell von Alibaba Cloud, zu nutzen, um vom Angreifer bereitgestellte Anweisungen in maschinell ausführbare Befehle umzuwandeln. Diese Funktion ermöglicht es der Malware, sich an ihre Zielumgebung anzupassen, ohne dass Codeaktualisierungen der bösartigen Binärdatei erforderlich sind.
Die Kampagne begann mit Spear-Phishing-E-Mails, die als offizielle Korrespondenz getarnt waren und sich gegen Einrichtungen im ukrainischen Sicherheits- und Verteidigungssektor richteten. Diese Nachrichten enthielten Archivdateien, die bei Ausführung die LameHug-Payload bereitstellten. Die Malware führte eine schnelle Datenerfassung durch, stahl und exfiltrierte gezielt Dateien, bevor sie sich selbst beendete, was auf Spionageziele hindeutet.
Picus Securitys Analyse zeigt, dass LameHug das LLM verwendet, um Befehlsketten zu generieren, die Systeminformationen, Details zu laufenden Prozessen und Netzwerkkonfigurationen sammeln. Es durchsucht auch Benutzerdesktops und Download-Ordner nach Dokumenten. Die gestohlenen Daten werden dann entweder über SFTP oder durch direkte Webanfragen exfiltriert, oft unter Ausnutzung kompromittierter Websites. Dieser neuartige Einsatz von KI erhöht die Anpassungsfähigkeit und Tarnung der Malware erheblich und stellt neue Herausforderungen für Erkennung und Abwehr dar.