Nytt skadeprogram LameHug använder AI för att generera kommandon

Cybersäkerhetsföretaget Picus Security har identifierat och dokumenterat ett nytt skadeprogram kallat LameHug, vilket representerar ett betydande steg i cyberbrottslighetens utveckling. LameHug är det första offentligt dokumenterade fallet där skadeprogram integrerar en AI-baserad stor språkmodell (LLM) för att generera kommandon i realtid. Programmet kopplas till den ryska statliga hackergruppen APT28, även känd som Fancy Bear och Sofacy.

LameHug upptäcktes i juli 2025 och riktade sig mot ukrainska statliga myndigheter under det pågående kriget i Ukraina. Dess särdrag är förmågan att använda en molnbaserad AI-modell, såsom Alibaba Clouds Qwen-modell, för att omvandla angriparens instruktioner till maskinkodskommandon. Detta gör det möjligt för skadeprogrammet att anpassa sig till förhållandena i det infekterade systemet utan att behöva uppdatera själva skadeprogramskoden.

Attackerna inleddes med riktade nätfiskeattacker som maskerade sig som officiella brev. Meddelandena innehöll ett arkiv som visade sig vara skadeprogram. LameHug utförde en snabb datainsamling, letade upp och kopierade känsliga filer från offrens datorer innan det avslutades. Insamlad data, såsom systeminformation och filer, lagrades temporärt innan den överfördes till angriparen.

Enligt Picus Securitys analys använder LameHug LLM för att dynamiskt skapa skript som samlar in systeminformation, information om pågående processer och nätverksanslutningar. Det söker också efter dokument på offrets skrivbord och nedladdningsmappar. Data överförs till angriparen antingen via SFTP eller direkt via nätverksbegäranden, ofta genom att utnyttja legitima eller kapade webbplatser. Användningen av AI ökar avsevärt skadeprogrammets förmåga att dölja sig och förändras, vilket gör dess upptäckt och bekämpning allt mer utmanande.