Neue Bedrohung GreyVibe auf AI Supported Cyber Attack Wave

WithSecure-Forscher berichteten von einer neuen Gruppe von Bedrohungen namens GreyVibe, die seit August 2025 im Mai 2026 auf die Ukraine abzielt. Der unterscheidende Aspekt der Gruppe verwendet kommerzielle künstliche Intelligenz-Tools wie ChatGPT, Google Gemini und Ideogram AI in fast jeder Phase des Angriffs. In diesem Artikel, wie KI-unterstützte Cyberangriffsmethoden funktionieren, GreyVibes fünf parallele Angriffsketten und konkrete Maßnahmen, um Institutionen zu bekommen.

In diesem Artikel: Die technischen Details der fünf separaten Angriffskette, wie die GreyVibe-Gruppe künstliche Intelligenz einsetzt, um Schadsoftware aus dem Text zu entwickeln, werden im Zusammenhang mit dem autonomen KI-Angriff, der Anthropic vom November 2025 erklärt, und den Schutzmethoden von Einzelpersonen und Unternehmen überprüft.

Was ist der GreyVibe-Angriff und wer wird gezielt?

Greyvibe ist definiert als ein bedrohungsset, das zuvor nicht dokumentiert wurde, basierend auf russischsprachigen betreibern. MitSecures Bericht vom 28. Mai 2026 zielt die Gruppe seit August 2025 auf militärische, öffentliche, zivile und private Organisationen ab. Die Kommandoinfrastruktur der Angreifer ist auf die Moskauer Zeitzone eingestellt. Die Sprache, die Codekommentare und die Zeitzonenkonfiguration in den verwendeten Fahrzeugen zeigen an, dass Russland geschweißt ist.

Die Zielauswahl ist bemerkenswert. Im Raum der Angriffsgruppen wie ukrainische Armee, öffentliche Institutionen, kritische Infrastruktur und ukrainische Diaspora. PrincessClub wird angegeben, dass die damit verbundenen Fallen sogar ukrainische Soldaten bei der aktiven Aufgabe mitgenommen werden. Eine starke Übereinstimmung wird unter den russischen Geheimdienstinteressen mit der Absicht der Betreiber gesehen. WithSecure fügt hinzu, dass die Gruppe nicht genug Beweise hat, um sich direkt mit dem russischen Staat zu verbinden.

Der Reifegrad von GrayVibe wird diskutiert. Die Forschergruppe definiert die mittlere Ebene anspruchsvoll mit niedrig. Operationelle Sicherheitsfehler, Gruppenwerkzeuge und Methoden wurden den Forschern erklärt. Mit LegionRelay lieferte ein Designfehler in der DroneLink-Infrastruktur direktes Feedback an die Verteidiger. Selbst der intensive Einsatz von künstlicher Intelligenz deckte dieser Anfänger keine Fehler ab.

Welche Phasen des Angriffs auf künstliche Intelligenz

Der wichtigste Aspekt von GreyVibe ist es, produktive künstliche Intelligenz zu einem strukturellen Teil der Operation zu machen. PhantomMail zeigt, dass die Metadaten und Entwicklungsartefakte von PhantomClick, PrincessClub, DroneLink und Nebo Kampagnen in einer Vielzahl von Aufgaben von KI-Tools verwendet werden. Diese Verwendung ist nicht üblich, systematisch.

Künstliche Intelligenz wurde in den folgenden Phasen aktiviert: Schreiben des Inhalts, Erstellen von gefälschten Website-Texten, visuelle Erstellung, Schreiben und Reorganisation von Schadsoftware, Vorbereitung von Hintergrundinfrastrukturskripten. Für die visuelle Produktion verwendete Ideogram AI ChatGPT und Google Gemini für die Codeentwicklung. In Gizern wie DAYLIGHT und TEASOUP (Obfuscator) wurden Codebilder der künstlichen Intelligenz erkannt.

Der WithSecure-Bericht besagt, dass der Einsatz künstlicher Intelligenz in der Gruppe strukturell ist. Die Bedeutung dieser Situation für einen Verteidiger ist klar: Aggressive Fallen und Malware können sich in Stunden statt in Wochen regenerieren. Eine Gruppe, die sich schneller ändern kann, als Komponenten von Forschern geclustert werden können, wird im Laufe der Zeit zu einem viel schwierigeren Ziel. Dies fasst auch die Hauptgefahr des KI-gestützten Cyberangriffsmodells zusammen.

Es ist bemerkenswert an GreyVibe, dass die Angriffsketten nicht völlig neu sind. Helfen Sie AI, diese Ketten von Bedrohungsakteuren zu industrialisieren. (Shane Barney, Keeper Security CISO, SC Media)

Wie funktioniert GreyVibe Five Attack Chain?

WithSecure dokumentiert fünf separate Angriffsketten, jede der Gruppe trägt eine einzigartige Falle und Last (Nutzlast). Während diese Ketten unterschiedlich erscheinen, kombinieren sich diese Ketten in einer gemeinsamen bösartigen Software-Infrastruktur. Nach den Details, die Bleeping Computer übertragen Alle Ketten zielen darauf ab, Tools wie PhantomRelay, LegionRelay und FallSpy in Zielsysteme zu platzieren.

PhantomMail: Gezielte Fischerei (Spear-Phishing) E-Mails werden verwendet. E-Mails werden zu bösartigen ZIP- oder RAR-Archiven weitergeleitet, die auf Google Drive und 4sync gehostet werden. Archives Enthält JavaScript-basierte Installationsprogramme und führen Sie den PowerShell-basierten Fernzugriff truva im Hintergrund aus, während Sie ein gefälschtes PDF öffnen. Fallen in der Ukraine imitieren öffentliche, Notfall-, Telekommunikations- und Energieinstitutionen.

PhantomClick: Zoom und LAPAS werden gefälschte CAPTCHA-Seiten verwendet, die ihre Website nachahmen. Klicken Fix-Stil in dieser Methode, der Benutzer führt den Befehl einer gefälschten Cloudflare Verifizierung zannet mit seinen eigenen Händen und startet die gleiche PhantomRelay Infektionskette.

Princess Club: Gefälschte ukrainische erwachsenenclubs und flirtseiten werden aktiviert. FallSpy-Spion-Software für Android-Geräte ist mit PhantomRelay oder LegionRelay für Windows-Systeme infiziert. Die betreiber verwendeten gefälschte weibliche telegram-kontakte und fügten dann webrtc-basierte live-interview-funktion hinzu, die das bild des opfers mit stimme erfassen kann. Diese Methoden kombiniert mit synthetischer Klang- und Bildproduktion künstlicher Intelligenz, zuvor diskutiert Künstliche Intelligenz und Stimmklonen bringt Risiken auf die Tagesordnung.

DroneLink: FPV-Drohnen und UAV-Themen gefälschte ukrainische Militärhilfeverbände werden erfunden. Im März und April 2026 teilten sich diese Seiten die gleiche C2-Infrastruktur mit PrincessClub, ZAPiXDESK-Tools mit WireGuard und LegionRelay-Skripten, die mit DAYLIGHT versteckt waren. WithSecure Labs Analyse frontforce[] Dateinamen wie gefälschte Assoziationsdomänen sind Beispiele.

Nebo: Eine kleinere Reihe von Artefakten, die ein russisches militärisches Kommunikationssystem namens ". ." (SPO NEBO) imitieren. Ein FallSpy-Beispiel, das den russischen militärischen Eingabebildschirm und

Eine gefälschte Anmeldeseite, die auf der PrincessClub-Infrastruktur gehostet wurde, wurde erkannt.

Der gemeinsame Punkt dieser Ketten ist, das Opfer zu überzeugen, an einem Punkt mit seinen eigenen Händen zu handeln. Ein gefälschtes captcha, eine gefälschte spendenkampagne oder ein gefälschtes dating-profil, alle entworfen, um vertrauen aufzubauen. Die Flux-Texte und realistischen Visuals, die durch künstliche Intelligenz erzeugt werden, machen diesen vertrauensbildenden Schritt viel intensiver als erstere.

Was machen PhantomRelay, LegionRelay und FallSpy?

Während Angriffsketten unterschiedliche Fallen verwenden, heben sich drei Hauptbössoftware auf der Lastseite ab. Diese Tools bieten eine breite Datenerfassung und Fernsteuerung, sobald sie in das System gelangen.

PhantomRelay, ein Fernzugriffs-Trupa-Pferd auf Basis von PowerShell (RAT). Das System trägt Fingerabdruckentfernung, Remote-Script-Laden, PowerShell und Windows-Befehlsausführungsfunktionen. LegionRelay ist umfassender: Dateidiebe, Screenshot-Capture, Browser-Identifikation stehlen, Telegram und WhatsApp Daten undicht und RDP-Zugriff kann installiert werden.

FallSpy ist eine Spion-Software für Android-Geräte vollständig. PrincessClub und Nebo Kampagnen wurden verteilt. Die gesammelten Daten umfassen Kontaktlisten, Anrufprotokolle, GPS-Standort, SIM-Informationen, Mediendateien und Gerätekennungen. Der Intelligenzwert wurde entwickelt, um hohe Informationen zu sammeln, wenn es um mobile Ziele geht.

Was sind die Unterschiede zwischen GreyVibe und GTG-1002?

Greyvibe ist kein fall allein, sondern teil eines breiteren trends. Anthropic im November 2025 Ankündigung der ersten von künstlicher Intelligenz organisierten Cyber-Spionage-KampagneDas Angreifer-Tool Claude Code in dieser Operation wurde einer chinesischen staatlich unterstützten Gruppe mit hohem Vertrauen zugeschrieben (genannt GTG-1002).

Der skalenunterschied zwischen greyvibe bei diesem vorfall ist wichtig. Künstliche Intelligenz in der GTG-1002-Kampagne wurde mit etwa 80 Prozent des Angriffs von selbst durchgeführt und menschliches Eingreifen war nur bei mehreren kritischen Entscheidungen erforderlich. Auf dem Höhepunkt des Angriffs arbeitete künstliche Intelligenz mit einer Geschwindigkeit, die mehr als eine Anfrage pro Sekunde erzeugt, auf die ein menschliches Team niemals zugreifen wird. Laut dem Bericht von Anthropic hat AI manchmal Fehler gemacht, indem sie Anmeldeinformationen angegeben hat, was eines der Hindernisse für vollständige autonome Angriffe bleibt.

Der Unterschied zwischen zwei Fällen liegt in der Tiefe der Rolle der künstlichen Intelligenz bei dem Angriff. Beim Einsatz von GreyVibe künstlicher Intelligenz als Produktivitätswerkzeug hat sich GTG-1002 weitgehend in künstliche Intelligenz verwandelt. Die folgende Tabelle vergleicht zwei Ansätze.

30 globale Ziele

Detektion

Zuhause

Anthropic

Anthropic von März 2025 bis März 2026 verboten Basierend auf 832 bösartigen Account-Mapping-Analyse Drohende Akteure setzen künstliche Intelligenz zunehmend in späten und komplexen Phasen ein. Diese beiden Fälle deuten auf einen Zeitraum hin, in dem die KI die Kosten des Angriffs reduziert und die Gruppen mit weniger Ressourcen in der Lage sind, groß angelegte Operationen durchzuführen.

Die Kostenseite ist die kritischste Größe dieser Tabelle. Zuvor war eine Fischereikampagne, ein gefälschtes Website-Netzwerk und spezielle bösartige Software für wochenlanges Fachwissen erforderlich. Kommerzielle Tools für künstliche Intelligenz laden diesen Job auf einige Abonnements pro Monat herunter. GreyVibe verwendete Tools wie ChatGPT und Gemini direkt anstelle von Gruppen-, Open-Source- oder Jailbreak-Spezialmodellen. Dieser Rückgang der Zugangsbarriere bedeutet, dass die Anzahl der Bedrohungsvektoren erhöht wurde. Ähnliche Risiken, zuvor diskutiert schädliche künstliche Intelligenzmodelle und -maßnahmen Home Es wird auch überprüft.

Wie können Institutionen und Einzelpersonen geschützt werden?

Die Annahme, dass die Fallen und Malware der Saldurga in Stunden reproduziert werden können, soll die Grundlage für die Verteidigungsstrategie schaffen. Einmalige Indikatoren (Indikator) sind effektiver, um sich auf das Schließen von Verhaltenslücken anstelle von Skating zu konzentrieren. Greyvibe fall zeigt, dass die verteidigung beschleunigt werden sollte.

Mehrere Maßnahmen erscheinen in der individuellen Ebene. Die erste Regel zum Öffnen von ZIP- oder RAR-Archiven aus den Links, die Sie nicht erkannt haben. Es ist auch wichtig, die Befehle zu kopieren und auszuführen, die gefälschte Seitenseiten wünschen. Aktivieren sie die multi-faktor-authentifizierung in jedem konto und vervollständigen sie die liste der vertrauensvollen personen, die nicht auf telegram oder flirt-plattformen wissen. Klicken Fix Style greift den Befehl des Opfers in seinen eigenen Händen an, den kritischsten Punkt der Falle.

Es wird empfohlen, die Umsetzung des Grundsatzes der geringsten Privilegien auf Unternehmensebene in den Aktivitäten der Mitarbeiter zu erfassen, sensible Daten mit einer Überprüfung von Faktoren zu begrenzen und Frühwarnmechanismen einzurichten. Regelmäßiges Sensibilisierungstraining für Mitarbeiter ergänzt den Tisch ebenfalls. Methoden wie GreyVibes gefälschtes CAPTCHA und gefälschte Spendenkampagnen zielen auf sehr menschliches Verhalten aus der technischen Verteidigung ab. Es sollte nicht angemerkt werden, dass künstliche Intelligenz sowohl auf Angriffs- als auch auf Verteidigungsseite ein Werkzeug ist. Für diejenigen, die sich darüber vertiefen wollen KI-Sicherheit und Hackability Adressiert als separater Header.

Was denkt die Gemeinschaft?

Spenden

Ein teil der sicherheitsforscher sieht greyvibe als warnzeichen. Das WithSecure-Team erklärt im Gespräch mit SecurityWeek, dass die Gruppe eine Vorhersage darüber bietet, wie sie in Zukunft in kriminellen Organisationen und mit der Regierung verbundenen Gruppen arbeiten soll. Es wird darauf hingewiesen, dass die Angreifer künstliche Intelligenz nutzen, um Geschwindigkeit, Skalierung und Raffinesse zu erhöhen, und der Einsatz von KI, wie sie sich entwickeln, wird sich ebenfalls entwickeln. Es zeigt, dass mobile Spionagesoftware wie FallSpy Soldaten in der aktiven Aufgabe angreift, das Risiko ist technisch und berührt die Sicherheit des Lebens.

Featured Upcomings

Der WithSecure-Bericht bietet einen Punkt, der die Tabelle ausgleicht. Greyvibes angriffsketten sind nicht völlig neu, sondern nur die bestehenden methoden der künstlichen intelligenz werden zur kenntnis genommen. Operationelle Sicherheitsfehler der Gruppe beweisen, dass künstliche Intelligenz den Anfänger abdeckt. Im Bericht von Anthropic zeigt sich, dass künstliche Intelligenz Identitätsinformationen beeinträchtigt, vollständige autonome Angriffe noch nicht reifen. Nach dieser Meinung können Verteidiger auch Vorteile mit den gleichen KI-Tools bieten.

Häufig gestellte Fragen

Wer ist GreyVibe und wie geht das?

GreyVibe ist eine Bedrohungsgruppe, berichtet von WithSecure im Mai 2026, basierend auf russischsprachigen Betreibern. Seit August 2025 zielt die ukrainische Armee auf öffentliche Institutionen, zivile Strukturen und private Unternehmen. Die Kommandoinfrastruktur ist auf die Moskauer Zeitzone eingestellt und ihre Ziele decken die Interessen des russischen Geheimdienstes ab.

Greyvibe, was benutzte ki-tools.

Gruppe ChatGPT und Google Gemini für die Codeentwicklung und Neubearbeitung, Ideogram AI für die visuelle Produktion. Künstliche Intelligenz wurde auch durch das Schreiben von Texten, die Erstellung gefälschter Website-Inhalte und die Erstellung von Backend-Infrastrukturskripten eingeführt.

Wie unterscheidet sich KI-unterstützter Cyberangriff von herkömmlichen Angriffen?

Grundlegender Unterschied in Geschwindigkeit und Maßstab. Künstliche Intelligenz ermöglicht es Angreifern, Fallen und Malware in Stunden statt Wochen zu regenerieren. In der von Anthropic angekündigten GTG-1002-Kampagne wurden die 80-90 Prozent des Angriffs auf künstliche Intelligenz mit mehreren Anfragen pro Sekunde durchgeführt, was für menschliche Teams unmöglich ist.

Was ist der ClickFix-Angriff und wie funktioniert er?

ClickFix ist eine Fallenmethode, die gefälschte CAPTCHA- oder Verifizierungsseiten verwendet. Der Benutzer hat eine Cloudflare- oder Zoom-Verifizierung selbst erstellt und führt den angegebenen Befehl mit seinen eigenen Händen aus. Mit diesem Befehl wird das Laden von Malware im Hintergrund gestartet. Greyvibe verwendete diese methode in der phantomclick-kette.

Was tun, um sich vor GreyVibe-Angriffen zu schützen?

Die grundlegenden Schritte, die keine Archivdateien aus Quellen öffnen, die Sie nicht erkennen, führen Befehle aus, die gefälschte Verifizierungsseiten benötigen, und ermöglichen die Multi-Faktor-Authentifizierung in jedem Konto. Das Prinzip der Mindestprivilegien für Einrichtungen, die Tätigkeitsaufzeichnungen und Frühwarnsysteme werden empfohlen.

Ist GreyVibe direkt mit dem russischen Staat verbunden?

WithSecure gibt an, dass die Gruppe nicht genügend Beweise hat, um sich direkt mit dem russischen Staat zu verbinden. Die Forscher bewerten die Verbindung der Gruppe mit dem Ökosystem der Cyberkriminalität mit mäßigem Vertrauen. Die Gruppe befindet sich in einer Grauzone zwischen Cyberkriminalität und staatlichen Aktivitäten.

Die Beziehung von WithSecure zur GreyVibe der DroneLink-Kette, gefolgt von, ist noch erforscht. Da die Rolle der künstlichen Intelligenz auf der Angriffsseite vertieft wird, wird in den nächsten Monaten die Verteidigungsseite zu sehen sein, die sich an die gleichen Mittel anpassen wird.