Slopoly: il nuovo ransomware generato con l’IA

Slopoly è una backdoor PowerShell generata con un LLM, usata dal gruppo Hive0163 in un attacco ransomware reale.

In ambito di sicurezza informatica, si è sempre vista l’intelligenza artificiale come uno strumento di difesa. I nuovi strumenti AI-Driven sono infatti capaci di rilevare anomalie, analizzare comportamenti sospetti e rispondere alle minacce in tempo reale. Ma qualcosa è cambiato prima con il caso Anthropic e adesso con la scoperta di Slopoly da parte di IBM X-Force. Si tratta di una backdoor ritenuta generata da un modello linguistico di grandi dimensioni.

1. Due parole su Hive0163
2. Modus operandi: da ClickFix a Interlock
3. Cos’è Slopoly
4. Cosa cambia con il malware generato da LLM

La scoperta conferma una tendenza a cui abbiamo iniziato ad assistere sempre più frequentemente: i collettivi cybercriminali hanno integrato l’IA nei propri processi operativi. In questo modo il tempo e le competenze necessarie per sviluppare nuovi strumenti di attacco si riducono drasticamente. Dietro questa nuova minaccia c’è uno dei più pericolosi gruppi al mondo, con un arsenale consolidato e una storia di intrusioni di alto profilo alle spalle: Hive0163.

Ma come sempre, andiamo con ordine e affrontiamo per gradi l’argomento.

Due parole su Hive0163

Prima di affrontare l’argomento cardine di questo articolo, è necessario fare una breve introduzione dei suoi creatori, in modo da avere un quadro chiaro della situazione.

Hive0163 è un gruppo criminale specializzato in intrusioni prolungate, esfiltrazione di dati su larga scala. Individuato da IBM X-Force all’inizio del 2026, si tratta di un’organizzazione che ha accesso a strumenti sviluppati internamente e relazioni consolidate con altri attori della scena criminale. I suoi membri sono infatti dietro la backdoor NodeSnake, il framework InterlockRAT, il loader JunkFiction e il ransomware Interlock. A questi si aggiunge una relazione diretta con il collettivo ransomware Rhysida, che dimostra come competenze tecniche, infrastrutture e payload vengono condivisi tra i vari gruppi criminali.

Il modello operativo di Hive0163 è quello del Malware-as-a-Service e del Ransomware-as-a-Service, in cui lo sviluppo degli strumenti è centralizzato, ma la distribuzione è affidata a operatori specializzati. L’obiettivo è quello di dare in licenza ad attori meno esperti i propri tools, in cambio di una percentuale sul riscatto ottenuto dall’attacco. Slopoly, tuttavia, segnala che il gruppo non si limita a utilizzare strumenti esistenti, ma ha iniziato a sperimentare attivamente l’IA per accelerare la produzione di nuovi componenti.

Modus operandi: da ClickFix a Interlock

L’intrusione documentata da IBM X-Force ha avuto inizio con un attacco basato su ClickFix, una tecnica di ingegneria sociale che induce la vittima a eseguire manualmente un comando PowerShell malevolo. Attraverso questo primo accesso, Hive0163 è passato all’installazione di NodeSnake, un malware basato su NodeJS che costituisce il primo stadio del loro framework C2.

NodeSnake comunica con il proprio server di comando e controllo (C2) tramite richieste HTTP POST e supporta una serie di comandi che spaziano dal download ed esecuzione di payload EXE, DLL e JavaScript, fino all’impostazione della persistenza sul sistema compromesso. Una volta consolidato l’accesso, il gruppo ha distribuito InterlockRAT, una versione più avanzata del framework, con supporto a tunnel SOCKS5 e capacità di aprire una shell remota diretta sulla macchina infetta.

Nelle fasi successive dell’attacco, il gruppo ha poi distribuito Slopoly, verosimilmente come esercitazione operativa su un sistema già compromesso. Con la backdoor al suo posto, si è poi passati al ransomware Interlock, consegnato tramite il loader JunkFiction. Questo è un eseguibile Windows a 64 bit che, una volta avviato, enumera le unità logiche del sistema, cifra i file con una combinazione di AES-GCM e RSA e rinomina ogni file aggiungendo le estensioni .!NT3RLOCK o .int3R1Ock. In ogni directory colpita lascia una nota di riscatto denominata FIRST_READ_ME.txt. Il gruppo ha mantenuto accesso persistente al sistema compromesso per oltre una settimana prima che l’attività venisse rilevata.

Cos’è Slopoly

Slopoly è uno script PowerShell che funge da client per un framework di comando e controllo. La sua peculiarità non risiede nelle funzionalità, ma in cosa risiede nel suo codice sorgente: origine artificiale. IBM X-Force ha identificato una serie di marcatori tipici della generazione tramite LLM, tra cui:

• commenti estesi e dettagliati all’interno del codice;
• gestione strutturata degli errori;
• registrazione sistematica delle operazioni su file di log;
• nomi di variabili descrittivi e coerenti.

Si tratta di caratteristiche insolite per un malware scritto da un essere umano, che tende a produrre codice compatto, privo di documentazione interna e volutamente offuscato.

Slopoly prende di mira i sistemi Windows e si installa al percorso C:\ProgramData\Microsoft\Windows\Runtime\ e stabilisce la propria persistenza tramite un’attività pianificata denominata “Runtime Broker”. La scelta non è casuale, ma è voluta per confondersi con processi di sistema legittimi. Da quel momento, Slopoly inizia a inviare un beacon heartbeat al proprio server C2 ogni 30 secondi, contenente informazioni di sistema quali indirizzo IP pubblico, nome utente, nome del computer e livello di privilegi. Ogni 50 secondi interroga il server alla ricerca di nuovi comandi, che vengono eseguiti tramite cmd.exe e i cui risultati vengono restituiti agli operatori.

Slopoly è in grado di coprire le principali esigenze operative di un attaccante nella fase post-compromissione. Tra le sue capacità si segnalano:

• download ed esecuzione di payload EXE, DLL e JavaScript;
• esecuzione di comandi shell arbitrari;
• modifica degli intervalli di beacon;
• aggiornamento del proprio codice e terminazione del processo.

Di notevole rilevanza è che il codice si autodescriva come un “client C2 polimorfico”, ma questa definizione non corrisponda alla realtà. Le analisi di IBM X-Force confermano che Slopoly non è in grado di modificare il proprio codice durante l’esecuzione. Il builder può generare nuove istanze con valori di configurazione e nomi di funzioni randomizzati, ma si tratta di una pratica standard tra i costruttori di malware, ben lontana da un vero polimorfismo. Inoltre, sembrerebbe che per la sua generazione sia stato impiegato un modello linguistico non avanzato.

Cosa cambia con il malware generato da LLM

Dal punto di vista strettamente tecnico, la backdoor è mediocre. Funziona, ma è priva di tecniche evasive avanzate e lontana dalla complessità dei malware sviluppati dai collettivi cybercriminali presenti sulla scena. La sua funzione è dimostrare che un gruppo criminale già capace ha scelto di delegare a un LLM la scrittura di un componente operativo, per risparmiare tempo e risorse.

Vista la progressiva diffusione di strumenti di IA accessibili, questo vantaggio è destinato ad estendersi a un numero crescente di attori, inclusi quelli con competenze tecniche limitate. Il risultato prevedibile è una proliferazione di malware effimeri: strumenti usa e getta, rigenerabili in pochi minuti con configurazioni diverse. Questa strategia rende inevitabilmente l’attribuzione basata su firme del codice sempre più difficile. È un cambio di paradigma che colpisce direttamente la threat intelligence, da sempre fondata sulla capacità di riconoscere pattern ricorrenti tra campioni diversi. Se ogni campione è unico e generato su richiesta, quella capacità si erode.

In base alle analisi pubblicate, IBM X-Force sostiene che esistano tre fasi evolutive della situazione. La prima, quella attuale, è la generazione di malware tramite LLM. La seconda è l’impiego di IA agentiva, in cui i modelli prendono decisioni autonome durante tutte le fasi dell’attacco. La terza è l’integrazione di IA direttamente nel malware, che diventa capace di adattarsi all’ambiente in cui opera. Le ultime due fasi sono già documentate in casi isolati, come dimostrano i proof-of-concept PromptSpy, PromptLock e VoidLink.
Da ciò si evince che gli esperti di sicurezza informatica devono iniziare ad adattarsi adesso, prima che le fasi più avanzate diventino la norma.

In conclusione

Sebbene Slopoly non sia il malware più pericoloso mai scoperto, è la prova che un gruppo criminale organizzato ha integrato l’intelligenza artificiale nel proprio ciclo di sviluppo operativo. La mediocrità del codice amplifica il segnale lanciato dalla minaccia. Se questo è il risultato di un modello non avanzato con guardrail aggirabili, ciò che emergerà con strumenti più potenti e meno vincolati è una domanda aperta.

Per questo motivo la nostra difesa deve basarsi sull’analisi comportamentale e sulla capacità di rilevare attività anomale indipendentemente dalla forma che il malware assume. La threat intelligence, inoltre, essere capace di evolvere alla stessa velocità con cui evolvono le minacce. Slopoly è solo il primo capitolo di una storia che si sta scrivendo adesso, destinata a cambiare in profondità il modo in cui concepiamo la sicurezza informatica nei prossimi anni.