• Akamai Hunt ha identificado una nueva cepa de malware que intenta ocultarse tras un terminal de API legítimo de un modelo de lenguaje de gran tamaño (LLM). 

• El malware envía una cadena que aparenta estar codificada en Base64 para establecer una conexión de mando y control (C2), en lugar de utilizar un esquema habitual.

• La explotación de esta técnica podría permitir al atacante obtener el control total y llevar a cabo la exfiltración de datos. 

• Este es otro ejemplo más de cómo los atacantes están evolucionando rápidamente sus metodologías de ataque, lo que refuerza la necesidad de que las organizaciones se preparen frente a estas amenazas modernas.

El panorama de amenazas evoluciona al ritmo de las expectativas, y los atacantes se adaptan con rapidez. A medida que los modelos de lenguaje de gran tamaño (LLM) se generalizan dentro de las organizaciones, sus patrones de comunicación pueden permitir a los atacantes ocultar tráfico malicioso a simple vista.

Del mismo modo que los defensores se apresuran a integrar la IA en los procesos de detección, mediante el uso de LLM para investigar alertas, resumirlas y correlacionar indicadores, los autores de malware también están experimentando con el uso de la IA. Ya hemos observado indicios tempranos con malware como LameHug y PromptLock, que muestran cómo los LLM diseñados para la generación de texto se pueden explotar con fines maliciosos.

También hemos visto un ejemplo de cómo los atacantes emplean la API de OpenAI como infraestructura de mando y control (C2) en la puerta trasera SesameOp, lo que pone de relieve una superficie de ataque completamente nueva dentro del ámbito de la IA.

Recientemente, el equipo de Akamai Hunt descubrió un nuevo malware que emplea un enfoque innovador de explotación de LLM, al combinar tráfico malicioso con el ruido del tráfico legítimo de las solicitudes a API de LLM. En esta entrada del blog, el equipo de Hunt comparte un ejemplo de la amenaza emergente que identificó en el marco de la prestación del servicio a los clientes de Hunt.

Mientras buscábamos nuevos usos de LLM en malware, apareció un archivo que llamó inmediatamente nuestra atención. Ya estaba marcado como malicioso en VirusTotal y coincidía con varias reglas YARA. Al iniciar la investigación, esperábamos encontrar otro patrón de creación de código mediante LLM y su posterior ejecución en el sistema de la víctima.

El malware intenta primero conectarse, mediante un socket, a la dirección IP 39.97.57[.]244. Al no lograrlo, recurre a un C2 HTTP especialmente llamativo: 1347790942-k1bok35vg3.ap-guangzhou.tencentscf[.]com/v1/chat/completions.

Tras observar la primera solicitud HTTP a la API, nos sorprendió comprobar que no seguía los encabezados requeridos para este tipo de peticiones.

Parte de nuestra investigación incluyó la búsqueda de usos de terminales de API de LLM, y en particular del terminal /v1/chat/completions.

Según la documentación de OpenAI, este terminal "crea una respuesta del modelo para la conversación de chat proporcionada" (figuras 1 y 2).

El terminal /v1/chat/completions fue introducido por OpenAI y rápidamente emulado por múltiples proveedores y puertas de enlace que ofrecen API compatibles con OpenAI (por ejemplo, OpenRouter y Hugging Face).

No obstante, las API oficiales de otros proveedores pueden utilizar terminales nativos diferentes o presentar variaciones en los parámetros, la autenticación y el comportamiento de streaming, a pesar de mantener un esquema de solicitud similar.

Normalmente, al utilizar esta API, es necesario añadir los siguientes parámetros obligatorios:

• Autorización: se requiere un encabezado de token bearer con el formato "Authorization: Bearer YOUR_API_KEY" para autenticar la solicitud.

• Modelo: un identificador de cadena que selecciona un modelo con capacidad de chat (p. ej., gpt-3.5-turbo o Llama-4-Maverick-17B-128E-Instruct-FP8) al que el terminal dirigirá su solicitud.

• Mensajes: una matriz de objetos de mensaje etiquetados por rol (con rol y contenido) que representa el historial de la conversación que el modelo utilizará para generar la siguiente respuesta.

Como hemos mencionado antes, ya hemos visto un uso malicioso real de este terminal en entornos reales: LameHug. Los autores del malware utilizaron el mismo terminal para acceder a un modelo de LLM en Hugging Face, solicitando comandos específicos y generando código de forma dinámica para ejecutarlo en el sistema de la víctima (figura 3).

Lo primero que observamos al analizar este binario fue que no utiliza ninguno de los campos mencionados. En su lugar, envía una cadena que aparenta estar codificada en Base64 (figura 4).

Tras decodificar el cuerpo y aplicar XOR con 0xBB, encontramos lo que parece ser la primera solicitud de reconocimiento realizada en el sistema de la víctima.

Seguimos el proceso de análisis de la respuesta y observamos que el malware espera una respuesta que no coincide con el esquema original de la API. Procesa los datos recibidos descifrándolos mediante XOR y Base64, y a continuación ejecuta la instrucción proporcionada en la respuesta (figura 5).

Identificamos variantes anteriores de este malware (los hashes pueden consultarse en la sección de indicadores de riesgo (IoC) de esta entrada). Estas variantes presentaban instrucciones similares y las mismas rutas codificadas de varias herramientas de acceso remoto ($HunterInfo), aunque el servidor de C2 era diferente.

También encontramos en VirusTotal un archivo RAR que está relacionado con el servidor de C2. El RAR incluye un archivo .lnk (个人简历.lnk, traducido como "Currículum"), que ejecuta el comando ftp -s””:_/_/_/_/_/_/_/_/_. El RAR también contiene archivos .doc dentro de directorios anidados, aunque su contenido es en realidad código binario (figura 8).

Este archivo es en realidad "SangforPromote.exe", un archivo verificado y firmado de Sangfor Technologies. Cuando se le proporciona el argumento -InstallLsp junto con una DLL, el archivo legítimo carga la DLL y establece el puntero a su exportación mediante LoadLibrary (figura 10).

La DLL, denominada 360, asigna memoria con permisos de lectura, escritura y ejecución (RWX), carga en ella "sc" y, a continuación, lo ejecuta.

Al analizar sc, el código cargado resuelve funciones mediante LoadLibrary y GetProcAddress. Cuenta con dos destinos codificados a los que envía solicitudes HTTP, que coinciden con las direcciones de C2 del malware que analizamos:

1. https://1347790942-k1bok35vg3.ap-guangzhou.tencentscf[.]com

2. 39.97.57[.]244

También descodifica los datos mediante Base64 y XOR, al igual que las muestras anteriores, lo que establece una clara relación entre los distintos conjuntos de herramientas. Creemos que este flujo descarga el RAT final en el sistema de archivos de la víctima (figura 11).

Los clientes de Akamai Hunt se benefician de una supervisión continua e ininterrumpida de este tipo de artefactos, lo que permite ofrecer protección frente a este tipo de ataques (figura 12).

La decisión estratégica de los atacantes de canalizar la exfiltración de datos y el mando y control (C2) a través del terminal /v1/chat/completions explota tanto la omnipresencia como la rápida evolución de los servicios de LLM. Este enfoque ofrece un alto retorno de la inversión, ya que aprovecha la infraestructura de nube existente para crear canales de comunicación que se integran en el tráfico empresarial normal. 

El peligro reside en cómo esta técnica alinea tres tendencias predominantes en los entornos modernos que, en conjunto, pueden proporcionar a los adversarios rutas de C2 estables y sigilosas, que parecen benignas bajo una inspección superficial:

1. Tráfico HTTPS saliente generalizado hacia API en la nube, a menudo sin inspección.

2. Creciente tolerancia al tráfico generado por máquinas (agentes de IA, aplicaciones e integraciones).

3. Disponibilidad sencilla de alojamiento en la nube, que proporciona terminales fiables y de larga duración que los atacantes pueden utilizar. 

La realidad es que los defensores están aprendiendo sobre la marcha cómo funcionan los LLM y qué amenazas conllevan. Si el tráfico parece lo suficientemente legítimo, existe la posibilidad de que se permita su paso sin contar con las protecciones adecuadas. A veces, esconderse a plena vista es la forma más sencilla de pasar desapercibido. 

Al ocultar cargas maliciosas dentro de tráfico destinado a servicios legítimos de LLM, los atacantes se apoyan en un patrón de red cada vez más común, lo que reduce la probabilidad de que sus comunicaciones sean marcadas o investigadas. A medida que las organizaciones adoptan herramientas y automatización basadas en IA, el tráfico hacia terminales de LLM se vuelve algo normal y, dentro de ese ruido, los atacantes encuentran su oportunidad.