Malware PROMPTFLUX přepisuje svůj kód pomocí AI
Google Threat Intelligence Group (GTIG) ve své středeční zprávě oznámila, že objevila neznámého útočníka používajícího experimentální skript v jazyku VBScript (Visual Basic Script) s názvem PROMPTFLUX, který interaguje s API jazykového modelu Gemini, přičemž si opakovaně generuje variace vlastního zdrojového kódu s cílem vylepšit obfuskaci a uniknout detekci antivirovými programy.
Tato regenerace je řízena komponentou nazvanou „Thinking Robot“, která se periodicky dotazuje jazykového modelu (LLM) — v tomto případě Gemini 1.5 Flash nebo novějšího – za účelem získání dalších variant kódu, který by tak obešel detekci pomocí statických, známých řetězců znaků. V malwaru je použit pevně zakódovaný API klíč, pomocí kterého je dotaz směrován na Gemini API. Prompt (neboli zadání dotazu) po modelu požaduje úpravy VB Script kódu a nastavuje formát výstupu tak, aby odpověď byla přímo strojově zpracovatelná a obsahovala pouze samotný kód.
Kromě toho ukládá malware každou svoji novou variantu do složky Windows Startup, aby si zajistil trvalou přítomnost, a pokouší se šířit kopírováním sebe sama na vyměnitelná média a namapované síťové sdílené složky. Google také uvedl, že odhalil více variant PROMPTFLUX, které obsahují regeneraci kódu pomocí LLM — u jedné verze malware dokonce využívá prompt pro přepsání celého zdrojového kódu každou hodinu, přičemž jazykový model instruuje, aby se choval jako „odborník na obfuskaci VBScriptu“.
PROMPTFLUX je zatím považován za produkt ve fázi vývoje a testování a v tuto chvíli nebylo zjištěno, že by disponoval prostředky k napadení sítě oběti či zařízení. Není ani známo, kdo za tímto malwarem stojí, ale náznaky směřují k finanční motivaci útočníka s širokým zacílením bez ohledu na lokalitu či odvětví.
V reakci na tyto informace ale např. bezpečnostní výzkumník Marcus Hutchins na LinkedInu upozornil, že Google možná význam této AI hrozby zveličuje. Uvádí jako argument, že „prompt vkládaný malwarem vychází z předpokladu, že Gemini nějak instinktivně ví, jak uniknout antivirům“, což dle něj ale neodpovídá realitě. Neexistuje podle něj ani žádná jistota, že ‚samo-modifikující‘ kód se dostatečně liší od předchozích verzí, nebo dokonce že je vůbec funkční.
Google však tímto oznámením upozornil, že útočníci přesouvají svoji pozornost od pouhého využití AI pro zvýšení své produktivity k výrobě nástrojů, které jsou schopné už samy měnit svoji podobu a své chování. Spatřují v tom také další krok k snadno dostupným nástrojům určeným k prodeji na underground fórech pro finanční zisk. Mezi další pozorované příklady takového malwaru patří:
- FRUITSHELL: napsaný v PowerShellu, zahrnuje napevno vložené prompty pro obcházení detekce
- PROMPTLOCK: multiplatformní ransomware napsaný v Go, který využívá LLM k dynamickému generování a provádění škodlivých Lua skriptů (proof-of-concept)
- PROMPTSTEAL (také známý jako LAMEHUG): data miner využívaný ruským státem podporovaným aktérem APT28 v útocích na Ukrajinu, který dotazuje model Qwen2.5-Coder-32B-Instruct pro generování příkazů spouštěných přes API Hugging Face
- QUIETVAULT: krádež přihlašovacích údajů napsaná v JavaScriptu, která cílí na GitHub a NPM tokeny
Společnost Google uvedla, že zaznamenala aktéry napojené na Čínu, kteří užívali AI Gemini pro vytváření přesvědčivých phishingových obsahů, budování technické infrastruktury a vývoji nástrojů pro exfiltraci dat. V jednom případě útočník přetvářel své prompty tak, že se deklaroval jako účastník soutěže „capture-the-flag“ (CTF), aby obelstil tzv. „morální zábrany“ modelu a získal užitečné informace.
„Útočník uváděl své prompty s dotazy na exploataci konkrétního softwaru či e-mailové služby komentáři typu ‚Pracuji na CTF úkolu‘ nebo ‚Jsem týmem v CTF a slyšel jsem někoho z jiného týmu říct…‘ Tento přístup mu poskytl rady k dalším kroku exploatace v rámci ‚scénáře CTF‘.“
Google uvedl, že očekává, že používání jazykových modelů ke zvýšení rychlosti, rozsahu a účinnosti takových operací se stává normou a umožní provádět útoky ve větším měřítku.
Cisco upozorňuje na novou variantu útoku
Společnost Cisco ve středu varovala před novou variantou útoku, zaměřenou na zranitelná zařízení běžící na softwarech Cisco Secure Firewall Adaptive Security Appliance (ASA) a Cisco Secure Firewall Threat Defense (FTD), která využívá zranitelnosti označené jako CVE‑2025‑20333 (chyba přetečení vyrovnávací paměti (buffer overflow) ve VPN web-serveru na zařízeních ASA a FTD), a CVE‑2025‑20362 (chybějící autorizace – útočník může získat na zařízení neoprávněný přístup).
Pro obě zranitelnosti byly Ciscem v září vydány opravy. Podle zprávy britského Centra pro kybernetickou bezpečnost (National Cyber Security Centre, NCSC) však ještě předtím došlo ke vzniku nových, vysoce sofistikovaných odnoží malwarů RayInitiator a LINE VIPER, které tyto zranitelnosti zneužívají. RayInitiator je perzistentní bootkit pro zařízení Cisco ASA 5500-X, který odolává restartování i upgradu firmwaru.
Používá k načtení LINE VIPER do paměti zařízení. LINE VIPER pak přijímá příkazy buď prostřednictvím autentikátoru WebVPN, nebo pomocí speciálních síťových paketů. Jakmile je aktivní, může na zařízení spouštět příkazy, zachytávat síťový provoz, obejít ověřování, obejít logování, ukládat uživatelem použité příkazy a způsobit odložený restart.
Cisco uvádí, že útočná aktivita je s velkou pravděpodobností spojena s aktérem známým jako ArcaneDoor (dříve UAT4356) a jeho kampaní reportovanou Ciscem na začátku roku 2024. Společnost důrazně doporučuje všem zákazníkům okamžitě aktualizovat na opravné verze softwaru.
Ve čtvrtek pak Cisco zveřejnilo další dvojici zranitelností s vysokým CVSS skóre, CVE-2025–20354 (9,8) a CVE-2025–20358 (9,4). Obě postihují software Unified CCX pro kontaktní centra, umožňují útočníkovi získat práva účtu root a obejít autentizaci. Přestože nejsou zatím známy případy zneužití, Cisco opět doporučuje urgentní aktualizaci produktů.
Evropské úřady rozbily mezinárodní síť kryptoměnových podvodníků
Devět osob bylo zadrženo při rozsáhlé mezinárodní policejní akci zaměřené na síť praní špinavých peněz spojenou s podvody v oblasti kryptoměn. Podle prohlášení, které dnes vydal úřad Eurojust, probíhala akce mezi 27. a 29. říjnem na území Kypru, Španělska a Německa. Zadrženým osobám je kladeno za vinu, že se podílely na praní peněz pocházejících z podvodné činnosti.
Během zásahu proběhly také domovní prohlídky, při nichž bylo zabaveno přibližně 800 000 eur na bankovních účtech, 415 000 eur v kryptoměnách a dalších 300 000 eur v hotovosti.
Na koordinované akci se kromě Eurojustu podílely také úřady z Francie, Belgie, Kypru, Německa a Španělska.
Podle vyjádření Eurojustu členové sítě vytvořili desítky falešných investičních platforem, které napodobovaly legitimní kryptoměnové weby a slibovaly vysoké zisky. Oběti lákali prostřednictvím reklam na sociálních sítích, telefonátů, falešných zpravodajských článků a podvržených svědectví známých osobností či úspěšných investorů.
Jakmile oběti vložily své prostředky na tyto falešné platformy, pachatelé je převedli do kryptoměn a prostřednictvím blockchainu je „vyprali“. Tímto způsobem si přišli na zhruba 600 milionů eur z nelegálních zisků.
Vyšetřování začalo poté, co se oběti začaly obracet na úřady s tím, že nemohou získat zpět své investice. Tyto podněty nakonec vedly minulý týden k uskutečněným raziím a zadržení hlavních podezřelých.
Pařížské státní zastupitelství uvedlo na svém profilu na LinkedInu, že vyšetřování bylo zahájeno už v roce 2023. Podle úřadu existují stovky obětí z Francie i dalších evropských zemí, které byly přesvědčeny, aby převedly své prostředky na falešné kryptoplatformy, jež slibovaly „atraktivní výnosy“.
Zveřejnění této akce přichází krátce poté, co Europol upozornil na rostoucí profesionalizaci kryptokriminality. Podle agentury se kriminální využívání kryptoměn a blockchainu stává stále sofistikovanějším, organizovanějším a těžším na odhalení. Boj s tímto „bezhraničním“ fenoménem proto vyžaduje obdobně koordinovaný přístup.
„Policie, soukromý sektor i akademická sféra rychle zvyšují své schopnosti čelit hrozbám spojeným s pokročilými kryptoměnovými podvody a praním peněz,“ uvedl Europol. „Moderní analytické nástroje postupně snižují závislost na ručním dohledávání a řada úspěšných mezinárodních operací dokazuje sílu spolupráce.“
Zajímavostí je, že podobné „kryptoinvestiční podvody“ se v posledních letech staly jednou z nejrychleji rostoucích forem internetové kriminality – často s oběťmi i v České republice.
CISA přidala zranitelnosti v Gladinet a CWP do katalogu KEV
Americká agentura pro kybernetickou bezpečnost a ochranu infrastruktury (CISA) v úterý zařadila dvě nové zranitelnosti postihující produkty Gladinet a Control Web Panel (CWP) do svého katalogu známých zneužívaných zranitelností (Known Exploited Vulnerabilities – KEV). Důvodem je potvrzené aktivní zneužívání v reálném prostředí.
Dotčené zranitelnosti jsou následující:
- CVE-2025–11371 (CVSS skóre: 7,5) – chyba v přístupu k souborům nebo adresářům dostupným externím stranám v produktech Gladinet CentreStack a Triofox, která může vést k nechtěnému zpřístupnění systémových souborů.
- CVE-2025–48703 (CVSS skóre: 9,0) – zranitelnost typu command injection v nástroji Control Web Panel (dříve CentOS Web Panel), umožňující neautentizované vzdálené spuštění kódu prostřednictvím speciálně upraveného parametru t_total v požadavku changePerm souborového manažeru.
K odhalení zneužívání došlo krátce poté, co bezpečnostní společnost Huntress zaznamenala aktivní útoky zneužívající CVE-2025–11371. Útočníci podle zjištění využívali chybu k provádění průzkumných příkazů (např. ipconfig /all) zasílaných ve formě Base64-enkódovaného payloadu.
Zatím však nebyly zveřejněny žádné veřejné zprávy o tom, jakým způsobem je CVE-2025–48703 zneužívána v praxi. Podrobné technické informace o chybě publikoval bezpečnostní výzkumník Maxime Rinaudo v červnu 2025, krátce poté, co byla opravena ve verzi 0.9.8.1205 po zodpovědném nahlášení z 13. května.
„Umožňuje vzdálenému útočníkovi, který zná platné uživatelské jméno instance CWP, provádět libovolné příkazy na serveru ještě před autentizací,“ uvedl Rinaudo.
Federální agentury spadající pod Federal Civilian Executive Branch (FCEB) musí podle nařízení CISA nasadit příslušné záplaty nejpozději do 25. listopadu 2025, aby zajistily ochranu svých sítí.
Zařazení těchto dvou zranitelností do katalogu KEV přichází krátce po varování společnosti Wordfence, která upozornila na aktivní zneužívání tří kritických chyb v pluginech a šablonách pro WordPress:
- CVE-2025–11533 (CVSS 9,8) – chyba eskalace oprávnění ve pluginu WP Freeio, umožňující útočníkovi při registraci přidělit si administrátorská práva.
- CVE-2025–5397 (CVSS 9,8) – zranitelnost typu authentication bypass v Noo JobMonster, která umožňuje obejít přihlašovací proces a získat přístup k účtům administrátorů, pokud je na webu povoleno přihlašování přes sociální sítě.
- CVE-2025–11833 (CVSS 9,8) – nedostatečné ověřování oprávnění v pluginu Post SMTP, umožňující útočníkovi zobrazit e-mailové logy, měnit hesla uživatelů a převzít kontrolu nad webem.
Uživatelům WordPressu, kteří tyto doplňky používají, se doporučuje co nejdříve provést aktualizaci na nejnovější verzi, používat silná hesla a provést kontrolu webu na známky kompromitace.
Podle odborníků CISA tyto případy jasně ukazují, že včasná aktualizace a správa zranitelností, stejně jako znalost mechanismů zneužívání typu RCE a command injection, hrají klíčovou roli v ochraně systémů před útoky. Rostoucí počet útoků vedených proti masivním útokům na WordPress pluginy zároveň potvrzuje, že i běžné webové technologie jsou častým cílem sofistikovaných kampaní.
Ve zkratce
- V Louvru nejsou slabinou jen zastaralé kamery, ale i hesla
- Evropské úřady rozbily síť kryptoměnových podvodníků, která připravila oběti o více než 600 milionů eur
- CISA zařadila do katalogu KEV zranitelnosti v Gladinet CentreStack a Control Web Panel kvůli aktivnímu zneužívání
- Wordfence varuje před aktivním zneužíváním tří kritických chyb v pluginech pro WordPress (WP Freeio, JobMonster, Post SMTP)
Pro pobavení
O seriálu
Tento seriál vychází střídavě za pomoci pracovníků Národního bezpečnostního týmu CSIRT.CZ provozovaného sdružením CZ.NIC a bezpečnostního týmu CESNET-CERTS sdružení CESNET, bezpečnostního týmu CDT-CERT provozovaného společností ČD - Telematika a bezpečnostních specialistů Jana Kopřivy ze společnosti Nettles Consulting a Moniky Kutějové ze sdružení TheCyberValkyries. Více o seriálu…
