Uusi haittaohjelma LameHug käyttää tekoälymalleja komentojen luomiseen

Kyberturvallisuusyritys Picus Security on tunnistanut ja dokumentoinut uuden haittaohjelman nimeltä LameHug, joka edustaa merkittävää kehitysaskelta kyberrikollisuudessa. LameHug on ensimmäinen julkisesti dokumentoitu tapaus, jossa haittaohjelma hyödyntää tekoälypohjaista suurta kielimallia (LLM) komentojen luomiseen reaaliaikaisesti. Ohjelma liittyy venäläiseen valtiolliseen hakkeriryhmään APT28, joka tunnetaan myös nimillä Fancy Bear ja Sofacy.

LameHug havaittiin heinäkuussa 2025 ja se kohdistui ukrainalaisiin valtion virastoihin Ukrainan sodan aikana. Sen erikoisuus on kyky käyttää pilvipohjaista tekoälymallia, kuten Alibaba Cloudin Qwen-mallia, muuntaakseen hyökkääjän antamat ohjeet konekielisiksi komennoiksi. Tämä mahdollistaa haittaohjelman mukautumisen saastuneen järjestelmän olosuhteisiin ilman, että itse haittaohjelman koodia tarvitsee päivittää.

Hyökkäykset alkoivat kohdennetuilla tietojenkalasteluviesteillä, jotka naamioitiin virallisiksi kirjeiksi. Viestit sisälsivät arkistotiedoston, joka paljastui haittaohjelmaksi. LameHug suoritti nopean tiedonkeruun, etsien ja kopioiden arkaluontoisia tiedostoja uhrien tietokoneilta ennen kuin poistui järjestelmästä. Kerätty tieto, kuten järjestelmätiedot ja tiedostot, tallennettiin väliaikaisesti ennen sen siirtämistä hyökkääjän hallintaan.

Picus Securityn analyysin mukaan LameHug käyttää LLM:ää dynaamisesti luodakseen komentosarjoja, jotka keräävät järjestelmätietoa, tietoja käynnissä olevista prosesseista ja verkkoyhteyksistä. Se etsii myös asiakirjoja uhrien työpöydältä ja latauskansioista. Tiedot siirretään hyökkääjälle joko SFTP-yhteyden tai suoraan verkkopyyntöjen kautta, usein käyttäen hyväksi havaittuja tai kaapattuja verkkosivustoja. Tällainen tekoälyn käyttö lisää merkittävästi haittaohjelman kykyä piiloutua ja muuttua, mikä tekee sen havaitsemisesta ja torjumisesta entistä haastavampaa.