Le nouveau malware LameHug intègre un LLM pour la génération dynamique de commandes
Picus Security a documenté LameHug, le premier malware publiquement connu à intégrer opérationnellement un Grand Modèle de Langage (LLM) pour la génération dynamique de commandes. Ce malware est lié au groupe APT28 parrainé par l'État russe.
La société de cybersécurité Picus Security a identifié et détaillé LameHug, un nouveau logiciel malveillant qui représente une évolution significative dans les cybermenaces. Il s'agit de la première instance publiquement documentée de malware intégrant opérationnellement un Grand Modèle de Langage (LLM) pour générer dynamiquement des commandes. Ce malware est attribué au groupe de menace parrainé par l'État russe APT28, également connu sous le nom de Fancy Bear ou Sofacy.
Découvert à la mi-2025, LameHug a été déployé dans une campagne ciblant des agences gouvernementales ukrainiennes dans le contexte du conflit en cours. Sa caractéristique principale est sa capacité à exploiter un LLM hébergé dans le cloud, tel que le modèle Qwen d'Alibaba Cloud, pour traduire les instructions fournies par l'attaquant en commandes exécutables par la machine. Cette fonctionnalité permet au malware de s'adapter à son environnement cible sans nécessiter de mises à jour du code du binaire malveillant.
La campagne a débuté par des e-mails de spear-phishing déguisés en correspondance officielle, ciblant des entités des secteurs de la sécurité et de la défense en Ukraine. Ces messages contenaient des fichiers d'archive qui, une fois exécutés, déployaient la charge utile de LameHug. Le malware a été observé effectuer une collecte de données rapide, dérobant et exfiltrant des fichiers ciblés avant de se terminer, ce qui correspond à des objectifs d'espionnage.
L'analyse de Picus Security révèle que LameHug utilise le LLM pour générer des chaînes de commandes qui collectent des informations système, des détails sur les processus en cours et les configurations réseau. Il recherche également des documents sur les bureaux des utilisateurs et dans les dossiers de téléchargement. Les données volées sont ensuite exfiltrées via SFTP ou par des requêtes web directes, exploitant souvent des sites web compromis. Cette utilisation novatrice de l'IA améliore considérablement la capacité d'adaptation et la furtivité du malware, posant de nouveaux défis pour sa détection et sa défense.