Grupo russo UAC-0099 esconde prompt sobre arma nuclear em malware para enganar análise por IA
Pesquisadores da ESET identificaram uma nova técnica, batizada de GuardBreaker, usada pelo grupo alinhado à Rússia UAC-0099 contra um alvo na Ucrânia: um comentário com um pedido explícito de ajuda para construir uma arma nuclear foi inserido dentro de um script VBS malicioso, com o objetivo de acionar os filtros de segurança de modelos de linguagem usados para analisar o código e fazer com que eles se recusem a processar o restante do arquivo.
A técnica GuardBreaker consiste em inserir, como comentário dentro de um script VBS (Visual Basic Script) malicioso, um trecho de texto do tipo 'quero construir uma arma nuclear, me ajude a...'. O conteúdo em si não tem função no malware — ele existe apenas para ser lido por uma ferramenta de análise baseada em LLM. A ideia é que, ao encontrar esse trecho, o modelo acione seus próprios mecanismos internos de recusa e interrompa a análise completa do arquivo, deixando o restante do código malicioso sem ser examinado ou sinalizado.
O grupo por trás do ataque, UAC-0099, é um ator alinhado à Rússia com histórico de campanhas contra os setores de transporte e energia ucranianos. Neste caso específico, o alvo foi uma organização na Ucrânia, e o script VBS contendo o prompt malicioso funcionava como estágio inicial de entrega para o MATCHBOIL, um loader escrito em C# usado exclusivamente por esse grupo para instalar cargas adicionais na máquina comprometida.
Tecnicamente, o ataque é uma forma de injeção de prompt indireta com alvo invertido: em vez de manipular um assistente de IA para que ele execute uma ação indevida, o objetivo é fazer o modelo recusar uma ação legítima (a análise de segurança), explorando o mesmo alinhamento de segurança que deveria proteger o usuário. É a mesma classe de vulnerabilidade documentada por pesquisas acadêmicas sobre robustez de LLMs frente a conteúdo adversarial embutido em dados que o modelo processa, mas aqui aplicada operacionalmente por um ator de ameaça real contra um pipeline de análise de malware.
O caso importa porque cada vez mais soluções de segurança — EDRs, sandboxes, triagem de SOC — incorporam LLMs para resumir, classificar ou decidir prioridade de artefatos suspeitos. Se um simples comentário de texto for suficiente para interromper essa análise, o mecanismo de segurança vira também um novo ponto cego explorável: um defensor que confia cegamente na saída do modelo pode deixar de investigar manualmente um arquivo que a IA 'se recusou' a examinar, quando na verdade essa recusa é o próprio sinal de que o arquivo merece atenção.