PROMPTFLUX: кодоо AI-аар хувиргахаар туршсан хортой программ

PROMPTFLUX: кодоо AI-аар хувиргахаар туршсан хортой программ

Халдагч AI-аар хортой код бичүүлээд зогсохгүй, программыг ажиллаж байх үед нь AI үйлчилгээнд хүсэлт илгээн кодын шинэ хувилбар авч болохыг туршжээ. Google Threat Intelligence Group (GTIG) үүний нэг жишээ болох PROMPTFLUX-ийг 2025 оны 6 дугаар сард илрүүлсэн байна.

PROMPTFLUX нь VBScript-ээр бичсэн туршилтын хортой программ байв. Энэ нь өөрөө зорилгоо сонгож, орчноосоо суралцдаг систем биш. Харин халдагчийн урьдчилан бичсэн хүсэлтийг Gemini API-д илгээж, өөрийн кодыг илрүүлэхэд хүндрэлтэй хэлбэрээр дахин бичихийг загвараас хүсдэг байжээ.

Шинжилгээгээр ямар оролдлого илрэв?

GTIG-ийн шинжилсэн хувилбар дараах үйлдлийг хийхээр оролдсон байна:

• Ажиллах үедээ кодоо солих: Gemini API-аас VBScript кодын өөр хувилбар авах.
• Танигдах шинжийг бүдгэрүүлэх: вирусийн эсрэг программд илрэх магадлалыг бууруулах өөрчлөлт хүсэх.
• Давтамжтай шинэчлэх: нэг хувилбар нь кодоо цаг тутам дахин хувиргах заавартай байсан.
• Шаардлагатай хэсгээ үлдээх: шинэ кодод API түлхүүр болон өөрийгөө дахин өөрчлөх хэсгийг хадгалах.

Энд AI бие даан халдлагын арга сонгоогүй. Загвар зөвхөн халдагчийн өгсөн зааврын дагуу кодын өөр хувилбар гаргаж байжээ.

Тайлан юуг батлаагүй вэ?

Google PROMPTFLUX-ийг хөгжүүлэлтийн эсвэл туршилтын шатанд байсан жишээ гэж үнэлсэн. Зарим хэсэг нь дутуу, Gemini API-г ашиглах давтамж хязгаартай, шинжилсэн хувилбар нь төхөөрөмж эсвэл сүлжээнд амжилттай халдах чадвараа харуулаагүй байжээ.

Google мөн уг ажиллагаатай холбоотой нөөцүүдийг идэвхгүй болгосноо тайлагнасан. Тиймээс энэ баримтаас PROMPTFLUX аль хэдийн байгууллагуудын системд амжилттай халдсан, эсвэл өөрөө хөгждөг кибер зэвсэг болсон гэж дүгнэж болохгүй.

Хамгаалалтын баг юуг ажиглах вэ?

Кодын тогтсон шинжээр хортой программыг таних арга дангаараа ийм хувилбарыг алдаж болно. Гэхдээ код өөрчлөгдлөө гээд бүх мөр арилдаггүй. Гадаад AI үйлчилгээтэй холбогдох, код татах буюу солих, цагийн хуваариар ажиллах, API түлхүүр ашиглах зэрэг зан үйлийг хянах боломж хэвээр байна.

Байгууллага өөрийн орчинд дараахыг шалгаж болно:

• зөвшөөрөгдсөн программтай холбоогүй скрипт ажиллаж байгаа эсэх;
• AI болон код үүсгэх үйлчилгээ рүү зөвшөөрөөгүй API хүсэлт гарч байгаа эсэх;
• код татах, солих, ажиллуулах үйлдэл тогтмол давтагдаж байгаа эсэх;
• төхөөрөмж дээр API түлхүүр, нэвтрэх мэдээлэл ил хадгалагдсан эсэх.

PowerShell, VBScript зэрэг скрипт ажиллуулах хэрэгслийн эрхийг шаардлагатай ажилд нь хязгаарлах, төхөөрөмж болон сүлжээний бүртгэлийг хамтад нь харах, ийм оролдлогыг кибер халдлагын үед авах арга хэмжээний дадлагад оруулах нь мөн хэрэгтэй.

Гол дүгнэлт

PROMPTFLUX өөрөө суралцдаг хортой программ өргөн хүрээнд ажиллаж эхэлснийг нотлоогүй. Харин ажиллаж буй хортой программ гаднын AI үйлчилгээг код хувиргах нэг хэрэгсэл болгон дуудах аргыг халдагч туршсаныг харуулсан.

Ийм олдвороос хэтрүүлсэн дүгнэлт хийхийн оронд ажиглагдсан зан үйл, гадагш хийсэн холболт, ашигласан нэвтрэх мэдээлэл, программын эрхийг баримтад тулгуурлан хянах нь хамгаалалтын зөв хариу юм.

Эх сурвалж

• Google Threat Intelligence Group: Advances in Threat Actor Usage of AI Tools