研究人员发现一种 AI 生成的 Linux 挖矿木马

cac55 2025-08-06 18:46 8 浏览 0 评论

研究人员发现一种新型 Linux 恶意软件，可能是在人工智能的帮助下开发的。

这款名为Koske 的新型 Linux AI 恶意软件，专门用于加密货币挖矿活动。Aquasec 研究人员报告称，该恶意代码利用 rootkit 和多语言图像文件滥用来逃避检测。

攻击者利用配置错误的服务器植入后门，并通过短网址链接下载两个 JPEG 文件。这两个多语言文件在文件末尾隐藏了恶意代码，并直接在内存中执行以逃避杀毒软件的检测。

其中一个是编译成 rootkit.so文件的 C 代码；另一个是使用标准系统工具的隐秘 Shell 脚本，可在不留下任何可见痕迹的情况下持久化。

Aquasec 发布的报告指出：“主要和次要载荷通过双重用途图像文件传递。攻击者将恶意 Shell 脚本附加到合法图像文件（例如熊猫图片）中，这些脚本隐藏在图片中并保存在合法免费的图像网站（freeimage、 postimage 和 OVH images）上。”

“这种技术不是隐写术，而是多语言文件滥用或恶意文件嵌入。该技术使用有效的 JPG 文件，并在末尾隐藏恶意 Shellcode。只有最后的字节被下载和执行，使其成为一种偷偷摸摸的多语言滥用形式。这是一个双重用途文件，通过将图像数据与可执行载荷混合来逃避检测。”

攻击者通过错误配置的 JupyterLab 实例获得访问权限，然后通过劫持 shell 配置和启动进程来运行隐秘脚本，从而确保持久性。

Koske 在其连接模块中展现了类似人工智能的行为，它使用多种方法测试 GitHub 访问权限，通过重置 DNS 和代理来解决问题，并动态地暴力破解工作代理。这种自适应的自动化策略表明，它采用了人工智能辅助开发。

以下几个脚本部分表明 LLM （大语言模型）参与其中：

Koske 恶意软件支持 18 种加密货币的挖矿，并根据受感染主机的硬件情况选择 CPU 或 GPU 优化的矿机。如果一个矿机出现故障，它会自动切换币种或矿池，目标资产包括 Monero、Ravencoin、Zano、Nexa 和 Tari。

AquaSec 在矿工的 GitHub 仓库中发现了塞尔维亚 IP、塞尔维亚脚本短语和斯洛伐克语，但无法确定这些攻击的来源。

报告总结道：“虽然利用人工智能生成更优代码已经给防御者带来了挑战，但这仅仅是个开始。真正改变游戏规则的是由人工智能驱动的恶意软件，这种恶意软件能够与人工智能模型动态交互，实时调整自身行为。这种能力可能标志着对手战术的飞跃，使无数系统面临严重风险。”

技术报告：

https://www.aquasec.com/blog/ai-generated-malware-in-panda-image-hides-persistent-linux-threat/

木马工具

相关推荐