Google identificó un malware llamado PROMPTFLUX que utiliza la API de Gemini AI para reescribir su propio código y evadir detección.Google identificó un malware llamado PROMPTFLUX que utiliza la API de Gemini AI para reescribir su propio código y evadir detección.
El grupo Google Threat Intelligence (GTIG) reveló el hallazgo de un malware experimental denominado PROMPTFLUX, escrito en Visual Basic Script (VBScript), que interactúa directamente con la API de Gemini AI para modificar su propio código con el fin de mejorar la ofuscación y evadir los sistemas de detección.
«PROMPTFLUX está escrito en VB Script y se comunica con la API de Gemini para solicitar técnicas específicas de ofuscación y evasión, facilitando la modificación automática de su código para eludir la detección basada en firmas estáticas«.
Google Threat Intelligence Group (GTIG)
Según GTIG, PROMPTFLUX solicita a Gemini técnicas específicas de ofuscación y evasión de detección, estos serían los pasos:
GTIG explicó que, aunque la función de actualización automática se encuentra comentada, el registro activo de respuestas de la IA en el archivo “%TEMP%\thinking_robot_log.txt” demuestra la intención de su autor de desarrollar un script metamórfico capaz de evolucionar con el tiempo.
Google indicó que existen múltiples variantes de PROMPTFLUX, algunas de las cuales reescriben todo su código fuente cada hora, usando la IA como un “experto en ofuscación de VB Script”. A pesar de su complejidad técnica, la empresa evaluó que el malware aún se encuentra en desarrollo y no posee capacidad activa de comprometer redes o dispositivos.
«El código asume que Gemini sabe instintivamente cómo evadir antivirus, lo cual no es cierto. No hay mecanismos para garantizar que el código modificado difiera del anterior ni validaciones para asegurar que funcione. Además, la función está comentada y no se ejecuta«.
Marcus Hutchins, investigador de ciberseguridad
El informe de Google también identificó otros proyectos maliciosos que utilizan modelos de lenguaje (LLM) para aumentar su capacidad operativa:
El análisis también expuso cómo actores estatales de China, Irán y Corea del Norte están abusando de Gemini para mejorar sus operaciones cibernéticas, desde la creación de señuelos de phishing hasta el desarrollo de herramientas de comando y control (C2).
Entre los casos observados se incluyen:
«La accesibilidad creciente de modelos de IA potentes y su integración en los procesos empresariales crean condiciones ideales para ataques de inyección de prompts. Los actores de amenazas están perfeccionando sus técnicas rápidamente, y la relación bajo costo–alta recompensa hace que estos ataques sean especialmente atractivos«.
Google Threat Intelligence Group (GTIG)
