Nouvelle menace GreyVibe sur AI Supported Cyber Attack Wave

AvecSecure, des chercheurs ont signalé un nouveau groupe de menaces appelé GreyVibe, qui vise l'Ukraine depuis août 2025 en mai 2026. L'aspect distinctif du groupe utilise des outils d'intelligence artificielle commerciale tels que ChatGPT, Google Gemini et Ideogram AI à presque toutes les étapes de l'attaque. Dans cet article, comment fonctionnent les méthodes de cyberattaque soutenues par l'IA, GreyVibe, cinq chaînes d'attaque parallèles et des mesures concrètes pour obtenir des institutions.

Dans cet article: Les détails techniques des cinq chaînes d'attaque distinctes, comment le groupe GreyVibe utilise l'intelligence artificielle pour développer des logiciels malveillants à partir du texte, sont examinés en relation avec l'attaque automatique AI, qui explique Anthropic en novembre 2025, et les méthodes de protection des individus et des entreprises.

Qu'est-ce que l'attaque GreyVibe et qui est ciblé?

GreyVibe est défini comme un ensemble de menaces, qui n'est auparavant pas documenté, basé sur des opérateurs russophones. Le 28 mai 2026, le groupe cible des organisations militaires, publiques, civiles et privées depuis août 2025. L'infrastructure de commandement des attaquants est fixée au fuseau horaire de Moscou. La langue, les commentaires de code et la configuration des fuseaux horaires dans les véhicules utilisés indiquent que la Russie est soudée.

La sélection des cibles est remarquable. Dans la salle des groupes d'attaque comme l'armée ukrainienne, les institutions publiques, les infrastructures essentielles et la diaspora ukrainienne. PrincessClub est indiqué que les pièges associés à sont pris même les soldats ukrainiens dans la tâche active. On constate un fort alignement entre les intérêts russes du renseignement et l'intention des opérateurs. AvecSecure ajoute que le groupe n'a pas assez de preuves pour se connecter directement à l'État russe.

Le niveau de maturité de GrayVibe est discuté. Le groupe de chercheurs définit le niveau moyen de façon sophistiquée avec faible. Des erreurs opérationnelles de sécurité, des outils de groupe et des méthodes ont été expliqués aux chercheurs. Avec LegionRelay, une erreur de conception dans l'infrastructure de DroneLink a fourni une rétroaction directe aux défenseurs. Même l'utilisation intensive de l'intelligence artificielle, ce débutant ne couvrait pas les erreurs.

Quelles étapes de l'attaque d'intelligence artificielle

L'aspect le plus critique de GreyVibe est de faire de l'intelligence artificielle productive une partie structurelle de l'opération. PhantomMail montre que les métadonnées et les artefacts de développement des campagnes PhantomClick, PrincessClub, DroneLink et Nebo sont utilisés dans un large éventail de tâches d'outils d'IA. Cette utilisation n'est pas courante, systématiquement.

L'intelligence artificielle a été activée dans les étapes suivantes: l'écriture du contenu, la production de faux textes de site Web, la création visuelle, l'écriture et la réorganisation de logiciels malveillants, la préparation de scripts d'infrastructure de fond. Pour la production visuelle Idéogramme AI utilisé ChatGPT et Google Gemini pour le développement de code. Dans les gizers comme DAYLIGHT et TEASOUP (obfuscator), des images de code de production d'intelligence artificielle ont été détectées.

AvecSecure rapport indique que l'utilisation du groupe de l'intelligence artificielle est structurelle. La signification de cette situation pour un défenseur est claire : les pièges agressifs et les logiciels malveillants peuvent se régénérer en quelques heures au lieu de semaines. Un groupe qui peut changer plus rapidement que les composantes peut être groupé par les chercheurs, devient un objectif beaucoup plus difficile à suivre au fil du temps. Cela résume également le principal danger du modèle de cyberattaque soutenu par l'IA.

« Il est remarquable au sujet de GreyVibe, pas les chaînes d'attaque sont complètement nouvelles. Aider l'IA à industrialiser ces chaînes d'acteurs de la menace. (Shane Barney, Sécurité du gardien ISO, Médias SC)

Comment GreyVibe fonctionne cinq chaînes d'attaque?

AvecSecure documenté cinq chaînes d'attaque distinctes, chaque groupe porte un piège et une charge uniques (charge utile). Bien que ces chaînes semblent différentes, ces chaînes se combinent dans l'infrastructure commune de logiciels malveillants. Selon les détails que Bleeping Computer a transférés Toutes les chaînes visent à placer des outils comme PhantomRelay, LegionRelay et FallSpy dans des systèmes cibles.

Nom de famille : Des courriels de pêche ciblée sont utilisés. Les e-mails rediriger vers les archives malveillantes ZIP ou RAR hébergées sur Google Drive et 4sync. Archives Comprend les installateurs basés sur JavaScript et exécutez la truva d'accès à distance PowerShell en arrière-plan tout en ouvrant un faux PDF. Les pièges en Ukraine imitent les institutions publiques, d'urgence, de télécommunications et d'énergie.

Cliquez sur le bouton fantôme : Zoom et LAPAS sont utilisés de fausses pages CAPTCHA qui imitent leur site. Cliquez sur Correction style dans cette méthode, l'utilisateur exécute la commande d'un faux zannet de vérification Cloudflare de ses propres mains et démarre la même chaîne d'infection PhantomRelay.

Princess Club : Faux club ukrainien adulte et sites de flirt sont activés. Le logiciel d'espion FallSpy vers des appareils Android est infecté par PhantomRelay ou LegionRelay vers des systèmes Windows. Les opérateurs ont utilisé de faux contacts télégrammes féminins, puis ont ajouté une fonction d'entrevue en direct basée sur WebRTC qui peut capturer l'image de la victime avec voix. Ces méthodes combinées avec la production synthétique de sons et d'images d'intelligence artificielle, discutées précédemment intelligence artificielle et clonage vocal présente des risques à l'ordre du jour.

DroneLink : Le drone FPV et les fausses associations ukrainiennes d'aide militaire sur le thème de l'UAV sont fictifs. En mars et avril 2026, ces sites partageaient la même infrastructure C2 avec PrincessClub, des outils ZAPiXDESK avec WireGuard et des scripts LegionRelay cachés avec DAYLIGHT. Avec l'analyseSecure Labs la force de front[. Les noms de fichiers tels que les domaines d'association faux sont des exemples.

Nebo: Un plus petit ensemble d'artefacts qui imite un système de communication militaire russe appelé « . . » (SPO NEPO). Un exemple FallSpy qui imite l'écran d'entrée militaire russe et

Une fausse page de connexion hébergée sur l'infrastructure PrincessClub a été détectée.

Le point commun de ces chaînes est de convaincre la victime d'agir de ses propres mains à un moment donné. Une fausse CAPTCHA, une fausse campagne de don ou un faux profil de rencontres, tous conçus pour construire la confiance. Les textes de flux et les visuels réalistes produits par l'intelligence artificielle rendent cette étape de confiance beaucoup plus intensifiante que la première.

Que font PhantomRelay, LegionRelay et FallSpy?

Alors que les chaînes d'attaque utilisent différents pièges, trois principaux logiciels malveillants se distinguent du côté de la charge. Ces outils offrent une large capacité de collecte de données et de télécommande une fois entré dans le système.

PhantomRelay, un cheval de truva d'accès à distance basé sur PowerShell (RAT). Le système comporte la suppression d'empreintes digitales, le chargement de script à distance, PowerShell et Windows commandes d'exécution. LegionRelay est plus complet : voleurs de fichiers, capture d'écran, vol d'identification du navigateur, fuite de données de Telegram et WhatsApp et accès RDP est en mesure d'installer.

FallSpy est un logiciel espion pour les appareils Android complètement. Les campagnes PrincessClub et Nebo ont été distribuées. Les données recueillies comprennent les listes de contacts, les journaux d'appels, l'emplacement GPS, les informations SIM, les fichiers multimédias et les identifiants d'appareils. La valeur du renseignement a été conçue pour recueillir des informations élevées sur les cibles mobiles.

Quelles sont les différences entre GreyVibe et GTG-1002?

GreyVibe n'est pas un cas unique, mais fait partie d'une tendance plus large. Anthropic en novembre 2025 a annoncé la première campagne de cyberespionnage organisée par l'intelligence artificielle. L'outil Claude Code de l'attaquant dans cette opération attribué à un groupe chinois de haute confiance soutenu par l'État (nommé GTG-1002).

La différence d'échelle entre GreyVibe et cet incident est importante. L'intelligence artificielle dans la campagne GTG-1002 a été menée par elle-même avec environ 80 pour cent de l'attaque et l'intervention humaine n'a été requise que pour plusieurs décisions critiques. Au plus fort de l'attaque, l'intelligence artificielle a fonctionné à une vitesse qui produit plus d'une demande par seconde, une équipe humaine n'y aura jamais accès. Selon le rapport de Anthropic, l'IA a parfois commis une erreur en indiquant des lettres de créances, ce qui demeure l'un des obstacles devant des attaques totalement autonomes.

La différence entre deux cas est dans la profondeur du rôle de l'intelligence artificielle dans l'attaque. En utilisant l'intelligence artificielle GreyVibe comme outil de productivité, GTG-1002 s'est largement transformé en intelligence artificielle. Le tableau ci-dessous compare deux approches.

30 cibles mondiales

Détection

Sommaire

Anthropic

Anthropic interdit de mars 2025 à mars 2026 Basé sur 832 analyses de cartographie de comptes malveillants Les acteurs menacés utilisent de plus en plus l'intelligence artificielle à des stades tardifs et complexes. Ces deux cas indiquent une période où l'IA réduit le coût de l'attaque et où les groupes ayant moins de ressources sont en mesure d'effectuer des opérations à grande échelle.

Le coût est la taille la plus critique de ce tableau. Auparavant, une campagne de pêche, un faux réseau de sites et un logiciel malveillant spécial étaient nécessaires pour des semaines d'expertise. Outils d'intelligence artificielle commerciale télécharger ce travail à quelques niveaux d'abonnement par mois. GreyVibe a utilisé de nombreux outils comme ChatGPT et Gemini directement au lieu de modèles spéciaux groupe, open source ou jailbreaked. Cette diminution de la barrière d'accès signifie une augmentation du nombre de vecteurs de menace. Risques similaires, précédemment discutés modèles et mesures d'intelligence artificielle nuisibles Il est également examiné.

Comment protéger les institutions et les individus?

L'hypothèse que les pièges et les logiciels malveillants de la saldurga peuvent être reproduits en heures est de créer la base de la stratégie de défense. Les indicateurs ponctuels (indicateurs) sont plus efficaces pour se concentrer sur la réduction des écarts comportementaux au lieu du patinage. L'affaire GreyVibe montre que la défense devrait être accélérée.

Plusieurs mesures apparaissent au niveau individuel. La première règle pour ouvrir les archives ZIP ou RAR à partir des liens que vous n'avez pas reconnus. Il est également essentiel de copier et d'exécuter les commandes qui faussent les pages. Activer l'authentification multi-facteurs dans chaque compte et compléter la liste des personnes de confiance qui ne connaissent pas sur les plateformes Telegram ou flirt. Cliquez sur Fix style attaque le commandement de la victime dans ses propres mains, le point le plus critique du piège.

Il est recommandé de consigner le principe du moindre privilège au niveau de l'organisation dans les activités des employés, en limitant les données sensibles avec une vérification des facteurs et en établissant des mécanismes d'alerte rapide. Une formation régulière de sensibilisation des employés complète également le tableau. Des méthodes telles que la fausse CAPTCHA de GreyVibe et les campagnes de faux dons ciblent le comportement très humain de la défense technique. Il ne faut pas noter que l'intelligence artificielle est un outil tant du côté de l'attaque que du côté de la défense. Pour ceux qui veulent approfondir ce sujet Sécurité et piratage de l'IA adressé comme un en-tête séparé.

Que pense la communauté?

Dons

Une partie des chercheurs en sécurité voient GreyVibe comme un signe d'avertissement. AvecSecure team, parlant à SecurityWeek, déclare que le groupe offre une prédiction sur la façon de travailler dans les organisations criminelles futures et les groupes liés par le gouvernement. Il est à noter que les attaquants utilisent l'intelligence artificielle pour augmenter la vitesse, l'échelle et la sophistication et l'utilisation de l'IA au fur et à mesure qu'ils se développent se développeront également. Il montre que les logiciels espions mobiles comme FallSpy ciblent les soldats dans la tâche active, le risque est technique et touche la sécurité de la vie.

À venir

AvecSecure rapport offre un point qui équilibre le tableau. Les chaînes d'attaque de GreyVibe's ne sont pas complètement nouvelles, mais seules les méthodes existantes d'intelligence artificielle sont notées. Les erreurs de sécurité opérationnelle du groupe prouvent que l'intelligence artificielle couvre le débutant. Dans le rapport de Anthropic, il montre que l'intelligence artificielle nuit à l'information d'identité, les attaques totalement autonomes ne mûrissent pas encore. Selon cet avis, les défenseurs peuvent également offrir des avantages en utilisant les mêmes outils d'IA.

Foire aux questions

Qui est GreyVibe, et comment ça prend ?

GreyVibe est un groupe de menaces, rapporté par WithSecure en mai 2026, basé sur des opérateurs russophones. Depuis août 2025, l'armée ukrainienne cible les institutions publiques, les structures civiles et les entreprises privées. L'infrastructure de commandement est fixée au fuseau horaire de Moscou et ses cibles couvrent les intérêts du renseignement russe.

GreyVibe quels outils d'IA utilisés ?

Groupe ChatGPT et Google Gemini pour le développement et la réédition de codes, Ideogramme AI utilisé pour la production visuelle. L'intelligence artificielle a également été lancée dans l'écriture de textes, la production de faux contenus de site Web et la préparation de scripts d'infrastructure backend.

Quelle est la différence entre les cyberattaques soutenues par l'IA et les attaques traditionnelles?

Différence fondamentale de vitesse et d'échelle. L'intelligence artificielle permet aux attaquants de régénérer les pièges et les logiciels malveillants en quelques heures au lieu de semaines. Dans la campagne GTG-1002 annoncée par Anthropic, 80 à 90 % de l'attaque d'intelligence artificielle a été menée avec plusieurs demandes par seconde, ce qui est impossible pour les équipes humaines.

Qu'est-ce que l'attaque ClickFix et comment ça marche ?

ClickFix est une méthode de piège qui utilise de fausses pages CAPTCHA ou de vérification. L'utilisateur a fait lui-même une vérification Cloudflare ou Zoom et exécute la commande donnée de ses propres mains. Cette commande commence le chargement des logiciels malveillants en arrière-plan. GreyVibe a utilisé cette méthode dans la chaîne PhantomClick.

Que faire pour protéger contre les attaques de GreyVibe?

Les étapes de base qui n'ouvrent pas les fichiers d'archive à partir de sources que vous ne reconnaissez pas, exécutez des commandes qui faussent les pages de vérification veulent et activer l'authentification multi-facteurs dans chaque compte. Le principe du privilège minimum pour les institutions, les registres d'activités et les systèmes d'alerte rapide est recommandé.

GreyVibe est-il directement lié à l'État russe ?

AvecSecure déclare que le groupe n'a pas assez de preuves pour se connecter directement à l'État russe. Les chercheurs évaluent le lien du groupe avec l'écosystème de la cybercriminalité avec une confiance modérée. Le groupe est placé dans une zone grise entre la cybercriminalité et l'activité de l'État.

La relation avec la GreyVibe de la chaîne DroneLink suivie par Secure est encore étudiée. Comme le rôle de l'intelligence artificielle du côté de l'attaque est approfondi, le côté de la défense sera vu dans les prochains mois, qui s'adapteront aux mêmes moyens.