¿Qué es LameHug y por qué debe preocuparnos?

LameHug es un software malicioso desarrollado en Python que utiliza la API de la plataforma Hugging Face y el modelo de IA de código abierto Qwen2.5-Coder-32B-Instruct de Alibaba. Fue identificado por primera vez el 10 de julio de 2025 por el Equipo de Respuesta a Emergencias Informáticas de Ucrania (CERT-UA) y se ha atribuido con un grado medio de confianza al grupo de cibercriminales pro-rusos APT28 (también conocido como Fancy Bear, Sednit, Forest Blizzard, entre otros).

Lo que distingue a LameHug de otras amenazas es su capacidad de generar en tiempo real comandos maliciosos a partir de lenguaje natural, adaptándose al sistema comprometido sin necesidad de tener instrucciones codificadas de antemano. Esto cambia de arriba a abajo la forma en que se diseñan y ejecutan los ciberataques.

Creado con Python, el lenguaje más popular en la actualidad en el ámbito de la ciberseguridad, este malware utiliza la API de HuggingFace –una herramienta que recopila varios modelos– y usar Qwen 2.5-Coder-32B-Instruct, el modelo de código abierto de Alibaba.

De esta forma, el malware genera de forma automática las instrucciones de ataque y se extiende mediante phishing, como se ha podido identificar en un correo electrónico al que se adjunta un archivo ZIP que contiene la carga maliciosa.

Dentro de este archivo ZIP, se han enumerado varios archivos –aunque podrían ser más–, bajo el nombre de Attachment.pif, AI_generator_uncensored_CANVAS_PRO_v_v.ash0.0.exe e image.py, extensiones que hacen referencia a Python y a un ejecutable.

Tras la apertura de dichos archivos, LameHug ejecuta comandos de forma automática para estudiar directorios del sistema de Microsoft, como la carpeta de Documentos, Descargas y Escritorio, así como archivos asociados a las aplicaciones de Office y a las extensiones PDF y TXT.

Así es el primer malware que usa LLM para generar comandos

Según ha explicado X-Force Exchange, el equipo de respuestas a incidentes de ciberseguridad de IBM, este malware es único en el uso de un LLM para ejecutar comandos en diferentes sistemas Windows comprometidos mediante la técnica de phising ya descrita.

La estrategia hizo uso de la ingeniería social para suplantar la identidad de funcionarios de un ministerio ucraniano en dicho correo y, gracias a los archivos adjuntos, LameHug podía reconocer el sistema, así como exfiltrar los datos.

Con un grado medio de confianza, se ha atribuido este nuevo ataque con inteligencia artificial al grupo de cibercriminales prorrusos conocido como APT28 y supone una gran amenaza ante el avance imparable de la IA.

Así, al igual que ocurre en otro tipo de ataques que pueden pasar desapercibidos, en este caso la amenaza es mucho mayor, ya que los comandos en la consola de Windows se ejecutan de forma automática y dinámica.

Esto implica que las herramientas de análisis estático, así como los diferentes softwares de seguridad –como el antivirus de Windows–, no son capaces de reconocer la amenaza hasta tiempo después de la infección.

Dicho esto, cabe destacar que LameHug fue identificado por el CERT-UA el 10 de julio, aunque publicó su investigación una semana después, sin concretar si este malware había sido capaz de infectar algún equipo.

Además, cabe esperar que estos ataques se repitan con el avance de la guerra entre Rusia y Ucrania, ya que APT28 –también conocido como FancyBear, BlueDelta o Forest Blizzard– mantiene vinculación con la dirección de inteligencia de Rusia.

Sea como sea, el primer malware que usa LLM de código abierto ya supone una escalada en la guerra cibernética y abre la puerta a un escenario desconocido para agencias y oficinas de seguridad.

Modus operandi I: el vector de ataque

El método de distribución de LameHug sigue un patrón conocido: el malware se infiltra a través de correos electrónicos de phishing cuidadosamente diseñados. En uno de los casos documentados, se empleó una cuenta legítima comprometida de un funcionario ucraniano para enviar un archivo ZIP titulado "Додаток.pdf.zip" ("Attachment.pdf.zip").

Dentro del archivo comprimido se encontraron ejecutables con nombres como:

• Attachment.pif
• AI_generator_uncensored_CANVAS_PRO_v0.9.exe
• image.py

Estas extensiones se corresponden con ejecutables y scripts en Python, todos ellos diseñados para pasar desapercibidos ante software antivirus convencional.

Modus operandi II: Cómo actúa LameHug en el sistema infectado

Una vez abierto el archivo infectado, LameHug ejecuta una serie de comandos generados automáticamente mediante el LLM, los cuales permiten:

• Reconocer el entorno del sistema (hardware, red, procesos activos).
• Examinar directorios clave como Documentos, Descargas y Escritorio.
• Extraer archivos de interés, especialmente aquellos vinculados a Office, PDF y TXT.
• Enviar los datos recopilados a servidores de los atacantes.

Esta generación dinámica de comandos es precisamente lo que dificulta su detección. Las herramientas tradicionales de análisis estático o heurístico no pueden anticipar qué acciones tomará el malware, ya que estas no están preprogramadas, sino que se adaptan al contexto en tiempo real.

¿Quién está detrás (supuestamente)?

El grupo APT28, asociado históricamente con los servicios de inteligencia rusos, ha sido señalado como el presunto responsable de LameHug. Este colectivo tiene un historial extenso de ataques cibernéticos, especialmente dirigidos a objetivos ucranianos y organizaciones occidentales que han mostrado apoyo a Ucrania en el contexto de la guerra.

En teoría, APT28 no solo posee la capacidad técnica para desarrollar herramientas como LameHug, sino también la motivación geopolítica para desplegarlas en escenarios de conflicto híbrido, como el que actualmente vive Europa del Este.

Fuentes:

https://computerhoy.20minutos.es/tecnologia/nace-lamehug-primer-malware-ia-hackea-windows-usando-zip-lenguaje-natural-1474020