• O Akamai Hunt identificou uma nova variedade de malware que tenta se esconder atrás de um endpoint de API de LLM (grande modelo de linguagem) legítimo. 

• O malware envia uma sequência de caracteres que parece estar codificada em Base64 para estabelecer uma conexão de C2 (comando e controle), em vez de usar um esquema comum.

• A exploração dessa vulnerabilidade pode levar ao controle total do invasor e à exfiltração de dados. 

• Este é mais um exemplo de como os invasores estão evoluindo rapidamente suas metodologias de ataque, o que reforça a necessidade de as organizações se prepararem para essas ameaças modernas.

O cenário de ameaças está evoluindo na velocidade do hype, e os invasores se adaptam rapidamente. À medida que LLMs (grandes modelos de linguagem) se tornam amplamente utilizados nas organizações, seus padrões de comunicação podem permitir que os invasores ocultem seu tráfego mal-intencionado à vista de todos.

Assim como os defensores correm para integrar a IA em pipelines de detecção, usando LLMs para investigar alertas, resumi-los e correlacionar indicadores, os autores de malware também estão experimentando o uso de IA. Já vimos evidências iniciais com malwares como LameHug e PromptLock, que demonstram como os LLMs projetados para geração de texto podem ser usados indevidamente para fins mal-intencionados.

Também vimos um exemplo de como os invasores usam a API da OpenAI para uma infraestrutura de C2 (comando e controle) no backdoor SesameOp, que destaca toda a nova superfície de ataque dentro do mundo da IA.

Recentemente, a equipe do Akamai Hunt descobriu um novo malware que usa uma nova abordagem para usar indevidamente LLMs, misturando tráfego mal-intencionado ao ruído de solicitações de API de LLM. Nesta publicação do blog, a equipe do Hunt compartilha um exemplo da ameaça emergente que descobriu como parte da prestação de serviços aos clientes do Hunt.

Durante uma busca por novos usos de LLM em malware, um arquivo chamou nossa atenção. Ele já estava marcado como mal-intencionado no VirusTotal e correspondia a várias regras Yara. Ao iniciarmos a investigação, esperávamos encontrar outro padrão de criação de código via LLM e execução na vítima.

O malware primeiro tenta se conectar ao endereço IP 39.97.57[.]244 usando um soquete, mas quando falha, ele recorre a um C2 HTTP interessante: 1347790942-k1bok35vg3.ap-guangzhou.tencentscf[.]com/v1/chat/completions.

Após observarmos a primeira solicitação HTTP para a API, ficamos surpresos ao ver que ela não seguia os cabeçalhos necessários para esse tipo de solicitação.

Parte de nossa pesquisa incluiu a busca por usos de endpoints de API de LLM e, particularmente, /v1/chat/completions.

De acordo com a documentação da OpenAI, esse endpoint "cria uma resposta de modelo para a conversa de chat fornecida" (Figura 1 e Figura 2).

O endpoint /v1/chat/completions foi introduzido pela OpenAI e rapidamente emulado por vários provedores e gateways que oferecem APIs compatíveis com a OpenAI (por exemplo, OpenRouter e Hugging Face).

No entanto, as APIs oficiais de outros fornecedores podem usar diferentes endpoints nativos ou podem diferir em parâmetros, autenticação e comportamento de streaming, apesar de terem um esquema de solicitação semelhante.

Normalmente, ao usar essa API, é necessário adicionar os seguintes parâmetros necessários:

• Autorização: um cabeçalho de token de portador no formato “Authorization: Bearer YOUR_API_KEY” é necessário para autenticar a solicitação

• Modelo: um identificador de cadeia de caracteres que seleciona um modelo compatível com chat (por exemplo, gpt-3.5-turbo ou Llama-4-Maverick-17B-128E-Instruct-FP8) para o qual o endpoint encaminhará sua solicitação

• Mensagens: uma matriz de objetos de mensagem com marcação de função (com função e conteúdo) que representa o histórico de conversas que o modelo usará para gerar a próxima resposta.

Como mencionamos acima, já observamos um uso mal-intencionado e real desse endpoint em ambiente real: LameHug. Os autores de malware usaram o mesmo endpoint para acessar um modelo de LLM no Hugging Face, pedindo comandos específicos e gerando dinamicamente o código para ser executado na vítima (Figura 3).

A primeira coisa que notamos ao analisar esse binário foi o fato de que ele não usa nenhum dos campos mencionados. Em vez disso, ele envia uma cadeia de caracteres que parece estar codificada em Base64 (Figura 4).

Após decodificar o corpo da mensagem e aplicar XOR com 0xBB, encontramos o que parece com o primeiro pedido de reconhecimento realizado contra a vítima.

Acompanhamos o processo de análise da resposta e observamos que o malware espera uma resposta que não corresponda ao esquema de API original. Ele processa os dados recebidos descriptografando-os usando XOR e Base64 e, em seguida, segue as instruções fornecidas na resposta (Figura 5).

Identificamos variantes mais antigas desse malware (o hash pode ser encontrado na seção IOC deste post). Elas tinham instruções semelhantes e tinham os mesmos caminhos codificados de várias ferramentas de acesso remoto ($HunterInfo), mas o servidor de C2 era diferente.

Também encontramos um arquivo RAR no VirusTotal que está relacionado ao servidor de C2. O RAR inclui um arquivo .lnk (个人简历.lnk traduzido para "Résumé" ou "CV"), executando ftp -s””:_/_/_/_/_/_/_/_/_. O RAR também inclui arquivos .doc dentro dos diretórios aninhados, embora seu conteúdo seja código binário (Figura 8).

Este arquivo é, na verdade, "SangforPromote.exe", um arquivo verificado e assinado da Sangfor Technologies. Quando dado o argumento -InstallLsp e uma DLL, o arquivo legítimo carrega a DLL e define o ponteiro para sua exportação usando LoadLibrary (Figura 10).

A DLL, denominada 360, aloca memória com permissões de RWX (leitura, gravação, execução), lê "sc" para ela e então o executa.

Ao analisar o sc, o código carregado resolve funções usando LoadLibrary e GetProcAddress. Ele tem dois destinos codificados para os quais envia solicitações HTTP, que correspondem aos endereços de C2 do malware que analisamos:

1. https://1347790942-k1bok35vg3.ap-guangzhou.tencentscf[.]com

2. 39.97.57[.]244

Ele também decodifica dados com Base64 e XOR, assim como as amostras anteriores, o que faz uma conexão entre os conjuntos de ferramentas. Acreditamos que esse fluxo baixa o RAT final no sistema de arquivos da vítima (Figura 11).

Os clientes do Akamai Hunt se beneficiam do monitoramento contínuo 24 horas por dia, 7 dias por semana, desses artefatos, permitindo a proteção contra esses ataques (Figura 12).

A decisão estratégica dos invasores de rotear a exfiltração e o C2 por meio do endpoint /v1/chat/completions explora a ubiquidade e a rápida evolução dos serviços de LLM. Essa abordagem oferece um alto potencial de ROI, pois aproveita a infraestrutura de nuvem existente para criar canais de comunicação que se integram ao tráfego corporativo normal. 

O perigo decorre da forma como essa técnica alinha três tendências predominantes em ambientes modernos, que, em conjunto, podem conceder aos adversários caminhos de C2 estáveis e furtivos, que parecem benignos sob inspeção superficial:

1. Uso generalizado de HTTPS de saída para APIs de nuvem, muitas vezes sem inspeção

2. Tolerância crescente para tráfego gerado por máquinas (agentes de IA, aplicativos, integrações)

3. Fácil disponibilidade de hospedagem na nuvem que fornece endpoints confiáveis e de longa duração que podem ser usados por invasores 

A realidade é que os defensores estão aprendendo na prática como os LLMs funcionam e quais ameaças eles podem trazer. Se o tráfego parecer legítimo o suficiente, há uma chance de que ele seja liberado sem as devidas proteções. Às vezes, esconder-se à vista de todos é a maneira mais fácil de passar despercebido. 

Ao ocultar cargas úteis mal-intencionadas no tráfego destinado a serviços de LLM legítimos, eles se aproveitam de um padrão de rede cada vez mais comum, reduzindo assim a chance de que suas comunicações sejam sinalizadas ou investigadas. À medida que as organizações adotam ferramentas e automação de IA, o tráfego para endpoints de LLM se torna normal, e nesse ruído, os invasores encontram oportunidades.