Co je PromptLock a jak využívá kód generovaný umělou inteligencí

Nová varianta ransomwaru s názvem PromptLock se stala prvním známým malwarem, který ke generování vlastního útočného kódu spoléhá na výstup velkého jazykového modelu. Místo pevně daných, předem napsaných skriptů využívá PromptLock kód v jazyce Lua vytvořený umělou inteligencí, který zajišťuje vyhledávání souborů, exfiltraci dat a šifrování – klíčové fáze ransomwarového útoku.

Lua je odlehčený skriptovací jazyk často používaný ve hrách a vestavěných systémech, protože je rychlý, přenositelný a snadno spustitelný na různých platformách. Tím, že si operátoři PromptLocku nechávají od LLM generovat Lua skripty za běhu, mohou vytvářet funkční útočný kód, aniž by museli každou variantu sami ručně kódovat. To představuje významný odklon od tradičního způsobu vývoje ransomwaru a právě proto bezpečnostní výzkumníci vnímají PromptLock jako signál toho, kam směřuje prostředí hrozeb, nikoli jen jako další izolovaný incident.

Proč je malware napsaný umělou inteligencí obtížněji odhalitelný antivirovými nástroji

Většina antivirových nástrojů a nástrojů pro detekci na koncových bodech se stále silně opírá o detekci založenou na signaturách: hledají známé vzory, hashe nebo struktury kódu, které odpovídají dříve evidovanému malwaru. Tento přístup dobře funguje proti statickému, opakovaně používanému kódu. Selhává však proti kódu, který se při každém generování mění.

Když LLM generuje Lua skripty pro vyhledávání souborů, exfiltraci a šifrování, každá vytvořená instance se může mírně lišit strukturou a syntaxí, přestože dosahuje stejného škodlivého výsledku. Tato variabilita narušuje porovnávání signatur a činí behaviorální analýzu důležitější – a zároveň obtížnější – protože obránci musí rozpoznat záměr skrytý za kódem, nikoli kód samotný. To je hlavní výzva v oblasti detekce ransomwaru generovaného umělou inteligencí: škodlivá logika je konzistentní, ale její vyjádření nikoli.

Jak to mění prostředí ransomwarových hrozeb

Přístup PromptLocku má význam i mimo jeho vlastní kampaň. Pokud se kód generovaný umělou inteligencí stane standardním nástrojem pro vytváření komponent ransomwaru, sníží to technické bariéry pro tvorbu nových variant a zrychlí tempo, jakým mohou útočníci iterovat. Operátor ransomwaru už nepotřebuje hluboké skriptovací dovednosti, aby vytvořil funkční rutiny pro vyhledávání souborů nebo šifrování. Potřebuje přístup k LLM a schopnost nasměrovat jeho výstup škodlivým směrem.

Tento posun se dotýká jednotlivců i organizací různě, ale oba čelí společnému problému: detekční nástroje postavené na statických signaturách jsou méně spolehlivé, když je proces generování kódu dynamický. Pro firmy to znamená, že ransomwarové kampaně, které již nyní způsobují skutečné škody – jako například incident popsaný v článku Tvrzení o ransomwaru na Deutsche Bank otřásá kybernetickým týdnem v červenci 2026 – by se mohly stát častějšími nebo obtížněji přiřaditelnými, protože útočníci začnou k urychlení vývoje používat nástroje umělé inteligence. Pro jednotlivé uživatele to znamená, že ransomware, který nakonec pronikne do domácí sítě nebo na osobní zařízení, nemusí odpovídat žádné dříve známé signatuře.

Praktická obrana: Zálohy, segmentace a místo pro VPN

Dobrá zpráva je, že základy obrany proti ransomwaru se nemění jen proto, že se změnil způsob generování kódu. Mění se však váha, kterou tyto základy nyní mají, protože samotná detekce založená na signaturách již nestačí.

Zálohy zůstávají nejdůležitější obranou. Pravidelné, testované, offline nebo neměnné zálohy znamenají, že i když ransomware úspěšně zašifruje soubory, můžete je obnovit, aniž byste museli platit výkupné. Správná péče o zálohy by měla zahrnovat ověření, že obnovení skutečně funguje, nejen to, že se zálohy vytvářejí.

Segmentace sítě omezuje rozsah škod. Ať už v domácím, nebo firemním prostředí – oddělení kritických systémů a citlivých dat od běžných zařízení snižuje, jak daleko se může infekce ransomwarem rozšířit, jakmile se uchytí.

VPN hrají podpůrnou roli ve vrstvené strategii. VPN nezabrání spuštění ransomwaru na zařízení, které již bylo infikováno, ale snižuje expozici tím, že šifruje provoz mezi vaším zařízením a sítí, což je důležité při připojení přes veřejnou nebo nezabezpečenou Wi-Fi, kde často dochází k prvotnímu průniku. V kombinaci s ochranou koncových bodů, aktualizovaným softwarem a obezřetným zacházením s e-mailovými přílohami a odkazy je VPN jednou z několika vrstev, nikoli samostatným řešením.

Co to znamená pro vás

Pokud jste běžný uživatel, praktické ponaučení zní, že žádný bezpečnostní nástroj není všelék, a to platí obzvlášť nyní, kdy detekce ransomwaru generovaného umělou inteligencí musí čelit kódu, který se nepodobá ničemu, co dosud viděla. Udržujte zálohy aktuální, buďte skeptičtí k neočekávaným přílohám a odkazům a používejte VPN jako součást širší sady návyků, nikoli jako jejich náhradu.

Pokud spravujete IT ve firmě, je toto vhodná chvíle, abyste zhodnotili, nakolik se váš detekční stack opírá o porovnávání signatur oproti behaviorální analýze, a abyste se ujistili, že postupy zálohování a obnovy byly v poslední době skutečně testovány, a nejen nakonfigurovány a zapomenuty.

Konkrétní doporučení

  • Udržujte offline nebo neměnné zálohy a pravidelně testujte obnovení, protože ransomware generovaný umělou inteligencí může obejít detekci založenou na signaturách, ale neobejde čistou zálohu.
  • Používejte segmentaci sítě, abyste omezili dosah infekce, pokud přece jen pronikne.
  • Vnímejte používání VPN jako jednu z vrstev v širší obranné strategii, zejména ve veřejných nebo nezabezpečených sítích, nikoli jako kompletní řešení proti ransomwaru.
  • Buďte informovaní o ransomwarových incidentech, které postihují velké organizace, protože často odhalují taktiky a důsledky, jež se nakonec přenesou i na menší cíle a jednotlivé uživatele.
  • Udržujte ochranu koncových bodů a operační systémy aktualizované, protože kód generovaný umělou inteligencí stále potřebuje zranitelnost nebo uživatelskou akci, aby získal prvotní přístup.