Що таке PromptLock і як він використовує код, згенерований ШІ

Новий варіант вірусу-вимагача під назвою PromptLock став першим відомим шкідливим програмним забезпеченням, яке покладається на вивід великої мовної моделі для генерації власного коду атаки. Замість постачання з фіксованими, заздалегідь написаними скриптами, PromptLock використовує згенерований ШІ код Lua для виявлення файлів, витоку даних та шифрування — основних етапів атаки вірусу-вимагача.

Lua — це легка скриптова мова, яку часто використовують в іграх та вбудованих системах, оскільки вона швидка, портативна й легко запускається на різних платформах. Завдяки тому, що велика мовна модель генерує скрипти Lua на льоту, оператори PromptLock можуть створювати функціональний код атаки, не пишучи кожен варіант вручну. Це істотна відмінність від традиційного способу створення вірусів-вимагачів, і саме тому дослідники безпеки сприймають PromptLock як сигнал про те, куди рухається ландшафт загроз, а не просто ще один ізольований інцидент.

Чому зловред, написаний ШІ, важче виявити антивірусними засобами

Більшість антивірусів та засобів виявлення на кінцевих точках досі значною мірою покладаються на сигнатурне виявлення: вони шукають відомі патерни, хеші або структури коду, що збігаються з раніше зареєстрованими шкідливими програмами. Такий підхід добре працює проти статичного, повторно використовуваного коду. Він дає збій проти коду, який змінюється щоразу при генерації.

Коли велика мовна модель створює скрипти Lua, які керують виявленням файлів, витоком даних та шифруванням, кожен згенерований екземпляр може трохи відрізнятися за структурою й синтаксисом, але при цьому давати той самий шкідливий результат. Така мінливість підриває сигнатурний пошук збігів і робить поведінковий аналіз важливішим — і складнішим, оскільки захисникам потрібно розпізнавати наміри, що стоять за кодом, а не сам код. Це головна проблема у виявленні вірусів-вимагачів, згенерованих ШІ: шкідлива логіка є послідовною, але її вираження — ні.

Як це змінює ландшафт загроз вірусів-вимагачів

Підхід PromptLock важливий поза межами його конкретної кампанії. Якщо генерований ШІ код стане стандартним інструментом для побудови компонентів вірусів-вимагачів, це знижує технічний поріг для створення нових варіантів та пришвидшує темп, з яким атакуючі можуть ітерувати. Оператор вірусу-вимагача більше не потребує глибоких навичок написання скриптів, щоб створити функціональні програми виявлення файлів або шифрування. Йому потрібен доступ до великої мовної моделі та вміння спрямовувати її вивід на шкідливі цілі.

Цей зсув по-різному впливає на окремих осіб та організації, але обидві сторони стикаються зі спільною проблемою: засоби виявлення, побудовані на статичних сигнатурах, стають менш надійними, коли процес генерації коду є динамічним. Для бізнесу це означає, що кампанії вірусів-вимагачів, які вже завдають реальної шкоди, як-от інцидент, описаний у матеріалі Заява про вірус-вимагач у Deutsche Bank сколихнула Кібертиждень у липні 2026 року, можуть стати частішими або їх буде важче атрибутувати, оскільки атакуючі використовують інструменти ШІ для пришвидшення розробки. Для окремих користувачів це означає, що вірус-вимагач, який зрештою потрапить до домашньої мережі чи особистого пристрою, може взагалі не відповідати жодній раніше відомій сигнатурі.

Практичні засоби захисту: резервне копіювання, сегментація та роль VPN

Хороша новина полягає в тому, що основи захисту від вірусів-вимагачів не змінюються лише через зміну методу генерації коду. Змінюється те, наскільки вагомими тепер є ці основи, оскільки одного сигнатурного виявлення більше недостатньо.

Резервне копіювання залишається найважливішим заходом захисту. Регулярні, перевірені, офлайн- або незмінні резервні копії означають, що навіть якщо вірус-вимагач успішно зашифрує файли, ви зможете відновити їх без сплати викупу. Гігієна резервного копіювання повинна передбачати перевірку того, що відновлення справді працює, а не лише того, що копії створюються.

Мережева сегментація обмежує радіус ураження. Чи то в домашній мережі, чи в бізнес-середовищі, відокремлення критичних систем і конфіденційних даних від пристроїв загального користування зменшує те, наскільки далеко може поширитися вірус-вимагач після отримання точки опори.

VPN відіграють допоміжну роль у багаторівневій стратегії. VPN не зупинить виконання вірусу-вимагача на вже зараженому пристрої, але зменшує вразливість, шифруючи трафік між вашим пристроєм та мережею, що має значення при підключенні через публічний або незахищений Wi‑Fi, де часто починається первинна компрометація. У поєднанні з захистом кінцевих точок, оновленим програмним забезпеченням та обережним поводженням з вкладеннями електронної пошти й посиланнями, VPN є одним із шарів, а не самодостатнім рішенням.

Що це означає для вас

Якщо ви звичайний користувач, практичний висновок полягає в тому, що жоден засіб безпеки не є срібною кулею, і це особливо актуально тепер, коли виявлення вірусів-вимагачів, згенерованих ШІ, повинно боротися з кодом, який не схожий ні на що відоме раніше. Підтримуйте резервні копії в актуальному стані, будьте скептичними до неочікуваних вкладень і посилань та використовуйте VPN як частину ширшого набору звичок, а не як їхню заміну.

Якщо ви керуєте ІТ у бізнесі, це слушний момент переглянути, наскільки ваш стек виявлення покладається на сигнатурне зіставлення порівняно з поведінковим аналізом, а також переконатися, що процедури резервного копіювання та відновлення справді тестувалися нещодавно, а не просто були налаштовані та забуті.

Практичні рекомендації

  • Підтримуйте офлайн- або незмінні резервні копії та регулярно перевіряйте відновлення, оскільки віруси-вимагачі, згенеровані ШІ, можуть обійти сигнатурне виявлення, але не чисту резервну копію.
  • Використовуйте мережеву сегментацію, щоб обмежити поширення інфекції, якщо вона все ж пройде захист.
  • Ставтеся до використання VPN як до одного з рівнів у ширшій стратегії захисту, особливо в публічних або незахищених мережах, а не як до повного рішення проти вірусів-вимагачів.
  • Слідкуйте за новинами про інциденти з вірусами-вимагачами, які вражають великі організації, оскільки вони часто розкривають тактики та наслідки, які згодом поширюються на менші цілі й окремих користувачів.
  • Підтримуйте в актуальному стані захист кінцевих точок та операційні системи, адже згенерованому ШІ коду все одно потрібна вразливість або дія користувача для отримання первинного доступу.