Expediente lamehug-apt28Operaciones estatales con IAUcrania
LameHug: malware vinculado a APT28 consulta el LLM Qwen para generar comandos
CERT-UA reportó phishing que entregaba LameHug, un ladrón de datos en Python que usa Qwen 2.5-Coder a través de la API de Hugging Face para crear comandos de reconocimiento y robo, atribuido a APT28 con confianza moderada.
AltaAtaque con IAEstado: ContenidoExpediente verificado
Abrir en el mapa interactivoCitar este expediente
- Reportado
- 17 jul 2025
- Ubicación
- Ucrania
- Objetivo
- Organismos gubernamentales ucranianos
- Gravedad
- Alta
- Provocado por
- APT28 (vinculado al GRU ruso, también conocido como Fancy Bear / UAC-0001)
- Tipo de actor
- Patrocinado por un Estado
- Pérdida reportada
- Ninguna reportada
- CVE
- Ninguno
Qué ocurrió
CERT-UA reportó phishing que entregaba LameHug, un ladrón de datos en Python que usa Qwen 2.5-Coder a través de la API de Hugging Face para crear comandos de reconocimiento y robo, atribuido a APT28 con confianza moderada.
Impacto: Organismos gubernamentales ucranianos atacados; el malware recopilaba información del sistema y documentos de Office, PDF y TXT para exfiltrarlos por SFTP o HTTP POST; número de víctimas no divulgado
Quién lo provocó
Actor: APT28 (vinculado al GRU ruso, también conocido como Fancy Bear / UAC-0001)
Atribución: Atribuido por CERT-UA con confianza moderada (media)
Motivo: Espionaje contra el sector de seguridad y defensa de Ucrania
Cómo ocurrió
Vector de ataque: Phishing desde cuentas comprometidas suplantando a funcionarios ministeriales con un ZIP que contenía un ejecutable .pif de PyInstaller que consulta Qwen2.5-Coder-32B mediante la API de Hugging Face para obtener comandos
Causa raíz: Compromiso de cuentas de correo que permitió señuelos convincentes; las llamadas a la API de un LLM en un servicio legítimo mezclan la generación de comandos maliciosos con el tráfico normal
Cronología
- CERT-UA recibe informes de correos de phishing dirigidos a organismos del poder ejecutivo
- CERT-UA publica el análisis de LameHug y la atribución a APT28
- Cato Networks estima que los operadores usaron aproximadamente 270 tokens de Hugging Face
Respuesta
CERT-UA emitió un aviso con IOC; Hugging Face fue notificado según los informes; se instó a los defensores a bloquear la infraestructura de entrega
Estado actual: Contenido
Fuentes (pestaña nueva)
- BleepingComputer bleepingcomputer.com
- Security Affairs securityaffairs.com
- Infosecurity Magazine infosecurity-magazine.com
Citar este expediente
LameHug: malware vinculado a APT28 consulta el LLM Qwen para generar comandos. AI Threat Watch, expediente lamehug-apt28, 17 jul 2025. https://aithreat.io/es/cases/lamehug-apt28/
Enlace permanente: https://aithreat.io/es/cases/lamehug-apt28/