案例 lamehug-apt28国家行为者 AI 行动乌克兰
LameHug：与APT28相关的恶意软件调用Qwen大模型生成命令
CERT-UA报告了一起投递LameHug的钓鱼活动，该Python窃密程序通过Hugging Face的API调用Qwen 2.5-Coder生成侦察和窃取命令，被以中等置信度归因于APT28。
高利用 AI 的攻击状态: 已控制已核实案例档案
- 报道日期
- 2025年7月17日
- 地点
- 乌克兰
- 目标
- 乌克兰政府机构
- 严重程度
- 高
- 发起者
- APT28（与俄罗斯GRU相关，又名Fancy Bear/UAC-0001）
- 行为者类型
- 国家支持
- 已报告损失
- 未报告
- CVE
- 无
发生了什么
CERT-UA报告了一起投递LameHug的钓鱼活动，该Python窃密程序通过Hugging Face的API调用Qwen 2.5-Coder生成侦察和窃取命令，被以中等置信度归因于APT28。
影响: 针对乌克兰政府机构；恶意软件收集系统信息以及Office、PDF和TXT文档，通过SFTP或HTTP POST外传；受害者数量未披露
谁发起了攻击
行为者: APT28（与俄罗斯GRU相关，又名Fancy Bear/UAC-0001）
归因: 由CERT-UA以中等置信度归因
动机: 针对乌克兰安全与国防部门的间谍活动
如何发生
攻击途径: 从被攻陷账户发出、冒充部委官员的钓鱼邮件，附带含PyInstaller .pif可执行文件的ZIP压缩包，该程序通过Hugging Face API向Qwen2.5-Coder-32B请求命令
根本原因: 邮件账户被攻陷使诱饵更具可信度；对合法服务的LLM API调用将恶意命令生成混入正常流量
时间线
- CERT-UA收到针对行政机关的钓鱼邮件报告
- CERT-UA发布LameHug分析及APT28归因
- Cato Networks估计运营者使用了约270个Hugging Face令牌
应对
CERT-UA发布带IOC的通告；据报Hugging Face已获通知；防御方被敦促封锁投递基础设施
当前状态: 已控制
来源（在新标签页打开）
- BleepingComputer bleepingcomputer.com
- Security Affairs securityaffairs.com
- Infosecurity Magazine infosecurity-magazine.com
引用此案例
LameHug：与APT28相关的恶意软件调用Qwen大模型生成命令. AI Threat Watch, 案例 lamehug-apt28, 2025年7月17日. https://aithreat.io/zh/cases/lamehug-apt28/