Досье gtig-honestcue-gemini-loaderВредоносное ПО с участием ИИВесь мир
Загрузчик HONESTCUE просит Gemini написать свежий код второй стадии на C# и компилирует его в памяти
GTIG описала HONESTCUE — фреймворк-загрузчик, замеченный в конце 2025 года, который запрашивает у API Gemini уникальную программу на C# для скачивания и запуска .NET-нагрузки с Discord CDN, компилируя её в памяти, так что ни один файл не попадает на диск.
СредняяАтака с помощью ИИСтатус: ЛокализованПроверенное досье
Открыть на интерактивной картеЦитировать это досье
- Дата сообщения
- 12 февр. 2026
- Локация
- Весь мир
- Цель
- Хосты Windows, на которые нацелен экспериментальный фреймворк
- Критичность
- Средняя
- Инициатор
- Неизвестный одиночный актор или небольшая группа
- Тип субъекта
- Криминальный
- Сектор
- Несколько отраслей
- Заявленные убытки
- Не заявлены
- CVE
- Нет
Что произошло
GTIG описала HONESTCUE — фреймворк-загрузчик, замеченный в конце 2025 года, который запрашивает у API Gemini уникальную программу на C# для скачивания и запуска .NET-нагрузки с Discord CDN, компилируя её в памяти, так что ни один файл не попадает на диск.
Последствия: Proof of concept; подтверждённых жертв не опубликовано.
Кто стоит за инцидентом
Субъект: Неизвестный одиночный актор или небольшая группа
Атрибуция: GTIG оценила, что это одиночный актор или небольшая группа на этапе тестирования.
Мотив: Обход сигнатурного детектирования
Как это произошло
Вектор атаки: Генерация кода LLM во время выполнения для компиляции полезной нагрузки «точно в срок»
Первопричина: Публичные API LLM предоставляют полиморфный код по запросу
Хронология
- HONESTCUE впервые замечен GTIG
- GTIG публикует описание семейства в своём AI Threat Tracker
Реагирование
Google отключила связанные учётные записи и инфраструктуру и настроила классификаторы.
Текущий статус: Локализован
Источники (открываются в новой вкладке)
- BleepingComputer on GTIG February 2026 report bleepingcomputer.com
- HackMag coverage hackmag.com
- Decryption Digest analysis decryptiondigest.com
Цитировать это досье
Загрузчик HONESTCUE просит Gemini написать свежий код второй стадии на C# и компилирует его в памяти. AI Threat Watch, досье gtig-honestcue-gemini-loader, 12 февр. 2026. https://aithreat.io/ru/cases/gtig-honestcue-gemini-loader/
Постоянная ссылка: https://aithreat.io/ru/cases/gtig-honestcue-gemini-loader/