Dossier lamehug-apt28Opérations étatiques avec l’IAUkraine
LameHug : un malware lié à APT28 interroge le LLM Qwen pour générer ses commandes
Le CERT-UA a signalé une campagne de phishing livrant LameHug, un voleur de données en Python utilisant Qwen 2.5-Coder via l'API de Hugging Face pour élaborer des commandes de reconnaissance et de vol, attribué à APT28 avec une confiance modérée.
ÉlevéeAttaque avec l’IAStatut: ContenuDossier vérifié
Ouvrir dans la carte interactiveCiter ce dossier
- Signalé le
- 17 juil. 2025
- Lieu
- Ukraine
- Cible
- Organismes gouvernementaux ukrainiens
- Gravité
- Élevée
- Déclenché par
- APT28 (lié au GRU russe, alias Fancy Bear / UAC-0001)
- Type d’acteur
- Acteur étatique
- Perte déclarée
- Aucune déclarée
- CVE
- Aucun
Ce qui s’est passé
Le CERT-UA a signalé une campagne de phishing livrant LameHug, un voleur de données en Python utilisant Qwen 2.5-Coder via l'API de Hugging Face pour élaborer des commandes de reconnaissance et de vol, attribué à APT28 avec une confiance modérée.
Impact: Organismes gouvernementaux ukrainiens ciblés ; le malware collectait des informations système et des documents Office, PDF et TXT pour exfiltration via SFTP ou HTTP POST ; nombre de victimes non divulgué
Qui l’a déclenché
Acteur: APT28 (lié au GRU russe, alias Fancy Bear / UAC-0001)
Attribution: Attribué par le CERT-UA avec un niveau de confiance modéré (moyen)
Mobile: Espionnage du secteur ukrainien de la sécurité et de la défense
Comment c’est arrivé
Vecteur d’attaque: Phishing depuis des comptes compromis usurpant des responsables ministériels, avec un ZIP contenant un exécutable .pif PyInstaller qui interroge Qwen2.5-Coder-32B via l'API Hugging Face pour obtenir des commandes
Cause racine: Compromission de comptes de messagerie permettant des leurres convaincants ; les appels d'API LLM vers un service légitime fondent la génération de commandes malveillantes dans le trafic normal
Chronologie
- Le CERT-UA reçoit des signalements d'e-mails de phishing visant des organes exécutifs du gouvernement
- Le CERT-UA publie l'analyse de LameHug et l'attribution à APT28
- Cato Networks estime qu'environ 270 jetons Hugging Face ont été utilisés par les opérateurs
Réponse
Le CERT-UA a publié un avis avec des IOC ; Hugging Face aurait été notifié ; les défenseurs ont été invités à bloquer l'infrastructure de diffusion
Statut actuel: Contenu
Sources (nouvel onglet)
- BleepingComputer bleepingcomputer.com
- Security Affairs securityaffairs.com
- Infosecurity Magazine infosecurity-magazine.com
Citer ce dossier
LameHug : un malware lié à APT28 interroge le LLM Qwen pour générer ses commandes. AI Threat Watch, dossier lamehug-apt28, 17 juil. 2025. https://aithreat.io/fr/cases/lamehug-apt28/
Lien permanent: https://aithreat.io/fr/cases/lamehug-apt28/