Досье lamehug-apt28ИИ-операции госакторовУкраина
LameHug: связанное с APT28 вредоносное ПО обращается к LLM Qwen для генерации команд
CERT-UA сообщила о фишинге, доставлявшем LameHug — Python-стилер, использующий Qwen 2.5-Coder через API Hugging Face для составления команд разведки и кражи данных; атрибутирован APT28 со средней уверенностью.
ВысокаяАтака с помощью ИИСтатус: ЛокализованПроверенное досье
Открыть на интерактивной картеЦитировать это досье
- Дата сообщения
- 17 июл. 2025
- Локация
- Украина
- Цель
- Государственные органы Украины
- Критичность
- Высокая
- Инициатор
- APT28 (связана с ГРУ России, также известна как Fancy Bear / UAC-0001)
- Тип субъекта
- Государственный
- Сектор
- Государство и госсектор
- Заявленные убытки
- Не заявлены
- CVE
- Нет
Что произошло
CERT-UA сообщила о фишинге, доставлявшем LameHug — Python-стилер, использующий Qwen 2.5-Coder через API Hugging Face для составления команд разведки и кражи данных; атрибутирован APT28 со средней уверенностью.
Последствия: Целями стали государственные органы Украины; вредоносное ПО собирало сведения о системе и документы Office, PDF и TXT для выгрузки через SFTP или HTTP POST; число жертв не раскрыто
Кто стоит за инцидентом
Субъект: APT28 (связана с ГРУ России, также известна как Fancy Bear / UAC-0001)
Атрибуция: Атрибутировано CERT-UA с умеренной (средней) уверенностью
Мотив: Шпионаж против сектора безопасности и обороны Украины
Как это произошло
Вектор атаки: Фишинг со скомпрометированных аккаунтов от имени чиновников министерства с ZIP-архивом, содержащим исполняемый файл .pif на PyInstaller, который запрашивает команды у Qwen2.5-Coder-32B через API Hugging Face
Первопричина: Компрометация почтовых аккаунтов, обеспечивающая убедительные приманки; вызовы API LLM к легитимному сервису маскируют генерацию вредоносных команд под обычный трафик
Хронология
- CERT-UA получает сообщения о фишинговых письмах, нацеленных на органы исполнительной власти
- CERT-UA публикует анализ LameHug и атрибуцию APT28
- Cato Networks оценивает, что операторы использовали примерно 270 токенов Hugging Face
Реагирование
CERT-UA выпустила бюллетень с IOC; Hugging Face, по сообщениям, уведомлена; защитникам рекомендовано блокировать инфраструктуру доставки
Текущий статус: Локализован
Источники (открываются в новой вкладке)
- BleepingComputer bleepingcomputer.com
- Security Affairs securityaffairs.com
- Infosecurity Magazine infosecurity-magazine.com
Цитировать это досье
LameHug: связанное с APT28 вредоносное ПО обращается к LLM Qwen для генерации команд. AI Threat Watch, досье lamehug-apt28, 17 июл. 2025. https://aithreat.io/ru/cases/lamehug-apt28/
Постоянная ссылка: https://aithreat.io/ru/cases/lamehug-apt28/