Google bije na poplach. Objavil malvér, ktorý dokáže sám myslieť a meniť svoj kód. Takýto vírus tu ešte nebol
Google varuje pred novou generáciou malvéru využívajúceho LLM a "just in time" sebamodifikáciu, ktorá mení kód pri spustení.
Kybernetická bezpečnosť sa mení rýchlejšie, než by si si ešte pred pár rokmi dokázal predstaviť. Umelá inteligencia sa stala nielen obrancom, ale aj zbraňou útočníkov. Podľa správy Google Threat Intelligence Group (GTIG) sa objavili nové generácie malvéru. Tie toitž využívajú veľké jazykové modely (LLM) na maskovanie, úpravu a dokonca aj priebežné prepísanie vlastného kódu. To, čo kedysi bolo doménou skúsených tvorcov škodlivých programov, dnes dokáže systém s prístupom k modelu ako Gemini.
Google označil tento prístup ako „just-in-time“ sebamodifikáciu. V praxi to znamená, že malvér nemá pevne daný kód. Nakoľko sa mení až v momente spustenia, podľa potreby a prostredia, do ktorého sa dostane. Takýto dynamický prístup mu poskytuje nečakanú mieru flexibility a znemožňuje bežným bezpečnostným nástrojom jeho zachytenie. Odborníci v Google vidia v tejto metóde zásadný zlom v histórii počítačových útokov.
Umelá inteligencia je hackermi zneužívaná na útoky
Jedným z experimentálnych príkladov je PromptFlux , ide o drobný, no mimoriadne sofistikovaný VBScript dropper. V najnovšej mutácii využíva priamo model Gemini, ktorý mu pomáha vytvárať obmeny kódu s každým behom. Prostredníctvom priečinkov pri štarte sa snaží udržať v systéme, no zvládne sa šíriť aj cez USB disky, či sieťové zdieľania. Zaujímavosťou je jeho modul „Thinking Robot“, ten pravidelne žiada LLM o nové inštrukcie, čím obchádza antivírusové kontroly. Aj keď sa zatiaľ nepoužíva v reálnych útokoch, Google mu z preventívnych dôvodov zablokoval API prístup.
Podobne funguje aj nástroj PromptSteal, známy ako LameHug. Ide o experimentálny projekt zameraný na zber údajov z kompromitovaných systémov, ktorý výskumníci spojili s incidentmi na Ukrajine. Tieto prípady dokazujú, že AI už neslúži iba ako nástroj podpory, ale je priamo súčasťou útočnej infraštruktúry!
Správa GTIG spomína aj ďalšie novinky. FruitShell, je reverzný PowerShell. Pričom otvára útočníkovi dvere do napadnutého zariadenia a dokáže spúšťať príkazy na diaľku. QuietVault je pre zmenu JavaScriptový „zlodej“ prihlasovacích tokenov, ktorý automaticky odosiela ukradnuté údaje do verejných git repozitárov. Ešte nebezpečnejšie vyznieva PromptLock, čo je (zatiaľ) experimentálny ransomware založený na Lua skriptoch, schopný šifrovať súbory na Windows, macOS aj Linux systémoch.
Neprehliadni
Brániť sa voči útokom bude mimoriadne ťažké
Google upozorňuje, že podobné technológie sa dnes nevyužívajú len pri vývoji malvéru, ale aj v ďalších fázach útoku. Niektoré hackerské skupiny, vrátane čínskych, iránskych (MuddyCoast, APT42) a severokórejských (Masan, Pukchong) aktérov, využívali model Gemini na hľadanie slabín v systémoch, generovanie phishingových textov či tvorbu deepfake obsahu. Všetky prípady Google vyšetrením uzavrel a napadnuté účty okamžite zablokoval.
Znepokojivý trend potvrdzujú aj „under-groundové“ fóra, kde rastie ponuka nástrojov s „AI asistenciou“. Podobne ako legálne služby, aj tie škodlivé sa propagujú s dôrazom na efektivitu a jednoduchosť. Stačí pár kliknutí a každý si môže vytvoriť vlastný botnet, alebo phishingovú kampaň.
Spoločnosť Google v závere správy zdôrazňuje, že vývoj umelej inteligencie musí kráčať ruka v ruke so zodpovednosťou (reči sú to pekné). Bezpečnostné opatrenia, kontrola API prístupov či preverovanie podozrivých aktivít sú podľa nej kľúčové. Nová éra, v ktorej malvér dokáže myslieť a meniť sa, totiž nevyhnutne mení zákony kybernetickej bezpečnosti. Obrana zostáva možná, no z ťažka sto percentná, nakoľko hackeri bývajú často o niekoľko krokov vpred.
