Новая угроза GreyVibe на волне кибератак, поддерживаемой ИИ

Исследователи WithSecure сообщили о новой группе угроз под названием GreyVibe, которая нацелена на Украину с августа 2025 года в мае 2026 года. Отличительный аспект группы использует коммерческие инструменты искусственного интеллекта, такие как ChatGPT, Google Gemini и Ideogram AI практически на любой стадии атаки. В этой статье о том, как работают методы кибератак, поддерживаемые ИИ, пять параллельных цепочек атак GreyVibe и конкретные меры для получения учреждений.

В этой статье: Технические детали пяти отдельных цепочек атак, как группа GreyVibe использует искусственный интеллект для разработки вредоносного программного обеспечения из текста, рассматриваются связь с автономной атакой ИИ, которая объясняет Anthropic на ноябрь 2025 года, и методы защиты физических лиц и компаний.

Что такое атака GreyVibe и кто на нее нацелен?

GreyVibe определяется как набор угроз, который ранее не документировался, на основе русскоязычных операторов. В докладе WithSecure от 28 мая 2026 года группа нацелена на военные, государственные, гражданские и частные организации с августа 2025 года. Командная инфраструктура злоумышленников установлена в московском часовом поясе. Язык, комментарии кода и конфигурация часового пояса в используемых транспортных средствах указывают на то, что Россия сварена.

Выбор целей примечателен. В зале атаки находятся такие группы, как украинская армия, государственные учреждения, критическая инфраструктура и украинская диаспора. В PrincessClub указывают, что связанные с этим ловушки берут даже украинские солдаты в активную задачу. Сильное совпадение интересов российской разведки с намерениями операторов. WithSecure добавляет, что у группы недостаточно доказательств, чтобы напрямую подключиться к российскому государству.

Обсуждается уровень зрелости GrayVibe. Группа исследователей изощренно определяет средний уровень с низким. Исследователям были объяснены ошибки оперативной безопасности, групповые инструменты и методы. С помощью LegionRelay ошибка проектирования в инфраструктуре DroneLink обеспечила прямую обратную связь защитникам. Даже интенсивное использование искусственного интеллекта этот новичок не покрывал ошибок.

Какие стадии атаки искусственного интеллекта

Наиболее важным аспектом GreyVibe является превращение искусственного интеллекта в структурную часть работы. PhantomMail показывает, что метаданные и артефакты разработки кампаний PhantomClick, PrincessClub, DroneLink и Nebo используются в широком спектре задач инструментов ИИ. Это использование не является распространенным, систематически.

Искусственный интеллект был активирован на следующих этапах: написание контента, производство поддельных текстов веб-сайта, визуальное создание, написание и реорганизация вредоносного программного обеспечения, подготовка сценариев фоновой инфраструктуры. Для визуального производства Ideogram AI использовали ChatGPT и Google Gemini для разработки кода. В гайзерах, таких как DAYLIGHT и TEASOUP (обфускатор), были обнаружены изображения кода производства искусственного интеллекта.

В докладе WithSecure говорится, что использование искусственного интеллекта является структурным. Смысл этой ситуации для защитника очевиден: агрессивные ловушки и вредоносные программы могут регенерировать за часы вместо недель. Группа, которая может меняться быстрее, чем компоненты могут быть сгруппированы исследователями, становится гораздо более трудной целью. Это также резюмирует основную опасность модели кибератаки, поддерживаемой ИИ.

Замечательно, что GreyVibe не является совершенно новой цепью атак. Помогите ИИ индустриализировать эти цепочки субъектов угроз. (Шейн Барни, Keeper Security CISO, SC Media)

Как GreyVibe работает с пятью цепочками атак?

С Secure задокументировано пять отдельных цепочек атак, каждая из которых несет в себе уникальную ловушку и нагрузку (payload). Хотя эти цепочки выглядят по-разному, они объединяются в общую инфраструктуру вредоносного программного обеспечения. Подробности, которые передал Bleeping Computer Все цепочки направлены на размещение таких инструментов, как PhantomRelay, LegionRelay и FallSpy, в целевые системы.

PhantomMail: Используются адресные рыболовные (копье-фишинговые) электронные письма. Электронные письма перенаправляются на вредоносные архивы ZIP или RAR, размещенные на Google Drive и 4sync. Archives Включает установщики на основе JavaScript и запускает труву удаленного доступа на основе PowerShell в фоновом режиме при открытии поддельного PDF. Ловушки в Украине имитируют общественные, аварийные, телекоммуникационные и энергетические учреждения.

PhantomClick: Zoom и LAPAS используют поддельные страницы CAPTCHA, которые имитируют их сайт. щелкнуть Исправляя стиль в этом методе, пользователь запускает команду поддельного заннета проверки Cloudflare своими руками и запускает ту же инфекционную цепочку PhantomRelay.

Клуб Принцессы: Активируются фейковые украинские клубы для взрослых и флиртующие сайты. Шпионское программное обеспечение FallSpy для устройств Android заражено PhantomRelay или LegionRelay для систем Windows. Операторы использовали поддельные женские контакты Telegram, а затем добавили функцию живого интервью на основе WebRTC, которая может захватывать изображение жертвы голосом. Эти методы в сочетании с синтетическим звуком и производством изображений искусственного интеллекта, обсуждались ранее. Искусственный интеллект и клонирование голоса Это создает риски для повестки дня.

DroneLink: Фальшивые украинские ассоциации военной помощи FPV и БПЛА являются вымышленными. В марте и апреле 2026 года эти сайты поделились той же инфраструктурой C2 с инструментами PrincessClub, ZAPiXDESK со скриптами WireGuard и LegionRelay, скрытыми с помощью DAYLIGHT. Анализ с помощью Secure Labs фронтовой силы[ ]. Имена файлов, такие как поддельные домены ассоциаций, являются примерами.

Небо: Меньший набор артефактов, имитирующих российскую военную систему связи под названием «..» Пример FallSpy, имитирующий российский военный экран ввода и

Была обнаружена поддельная страница входа, размещенная на инфраструктуре PrincessClub.

Общий смысл этих цепей состоит в том, чтобы убедить жертву действовать своими руками. Поддельная CAPTCHA, фальшивая кампания пожертвований или поддельный профиль знакомств — все это предназначено для создания доверия. Тексты потоков и реалистичные визуальные эффекты, созданные искусственным интеллектом, делают этот шаг по укреплению доверия гораздо более интенсивным, чем предыдущий.

Что делают PhantomRelay, LegionRelay и FallSpy?

В то время как цепочки атак используют различные ловушки, на стороне нагрузки выделяются три основных вредоносных программного обеспечения. Эти инструменты предлагают широкий сбор данных и возможность дистанционного управления после входа в систему.

PhantomRelay — лошадь с дистанционным доступом на базе PowerShell (RAT). Система несет удаление отпечатков пальцев, удаленную загрузку скриптов, возможности запуска команд PowerShell и Windows. LegionRelay является более всеобъемлющим: воры файлов, захват скриншотов, кража идентификации браузера, утечка данных Telegram и WhatsApp и доступ к RDP могут быть установлены.

FallSpy - это шпионское программное обеспечение для устройств Android полностью. Были распространены кампании PrincessClub и Nebo. Собранные данные включают списки контактов, журналы вызовов, местоположение GPS, информацию SIM, медиафайлы и идентификаторы устройств. Ценность разведки была разработана для сбора высокой информации о мобильных целях.

Чем отличаются GreyVibe от GTG-1002?

GreyVibe — это не один случай, а часть более широкой тенденции. Anthropic в ноябре 2025 года Объявлена первая кампания кибершпиона, организованная искусственным интеллектомЗлоумышленник Claude Code в этой операции приписывается высоконадежной китайской государственной группе (названной GTG-1002).

Разница в масштабах между GreyVibe и этим инцидентом очень важна. Искусственный интеллект в кампании GTG-1002 проводился сам по себе с примерно 80 процентами атаки и вмешательство человека требовалось только при нескольких критических решениях. На пике атаки искусственный интеллект работал со скоростью, которая производит более одного запроса в секунду, к которой человеческая команда никогда не будет иметь доступа. Согласно отчету Anthropic, ИИ иногда ошибался, указав учетные данные, что остается одним из препятствий перед полноценными автономными атаками.

Разница между двумя случаями заключается в глубине роли искусственного интеллекта в атаке. При использовании искусственного интеллекта GreyVibe в качестве инструмента производительности GTG-1002 в значительной степени превратился в искусственный интеллект. В таблице ниже сравниваются два подхода.

30 глобальных целей

обнаружение

Домой

антропный

Антропик запрещен с марта 2025 по март 2026 На основе анализа картирования вредоносных учетных записей 832 Актеры все чаще используют искусственный интеллект на поздних и сложных стадиях. Эти два случая указывают на период, когда ИИ снижает стоимость атаки, а группы с меньшими ресурсами способны выполнять крупномасштабные операции.

Стоимость является наиболее важным размером этой таблицы. Ранее на неделях экспертизы требовалась рыболовная кампания, фейковая сеть сайтов и специальное вредоносное программное обеспечение. Инструменты коммерческого искусственного интеллекта загружают эту работу на несколько уровней подписки в месяц. GreyVibe широко использовал такие инструменты, как ChatGPT и Gemini, вместо групповых, открытых или джейлбрейковых специальных моделей. Это снижение барьера доступа означает увеличение числа векторов угроз. Аналогичные риски, ранее обсуждавшиеся Вредные модели искусственного интеллекта и меры Home Он также пересматривается.

Как защитить институты и отдельных лиц?

Предположение о том, что ловушки и вредоносное ПО салдурги можно воспроизвести за несколько часов, заключается в создании основы оборонной стратегии. Единовременные показатели (индикатор) более эффективны, чтобы сосредоточиться на закрытии поведенческих пробелов вместо катания. Случай с GreyVibe показывает, что защита должна быть ускорена.

На индивидуальном уровне появляется несколько мер. Первое правило для открытия ZIP или RAR архивов по ссылкам, которые вы не распознали. Также важно копировать и выполнять команды, которые нужны поддельным страницам. Включите многофакторную аутентификацию в каждой учетной записи и заполните список доверчивых людей, которые не знают в Telegram или флиртовых платформах. щелкнуть Фикс-стиль атакует команду жертвы в собственных руках, наиболее критическую точку ловушки.

Внедрение принципа наименьших привилегий на корпоративном уровне рекомендуется фиксировать в деятельности сотрудников, ограничивая конфиденциальные данные с очень факторной проверкой и устанавливая механизмы раннего предупреждения. Регулярное обучение сотрудников также дополняет таблицу. Такие методы, как поддельная CAPTCHA GreyVibe и поддельные кампании пожертвований, нацелены на поведение человека. Нельзя сказать, что искусственный интеллект является инструментом как в атаке, так и в обороне. Для тех, кто хочет углубиться в это Безопасность и хакерство адресован как отдельный заголовок.

Что думает сообщество?

Пожертвования

Некоторые исследователи безопасности считают GreyVibe предупреждающим знаком. Команда WithSecure, выступая перед SecurityWeek, заявляет, что группа предлагает прогноз о том, как работать в будущих преступных организациях и связанных с правительством группах. Отмечается, что злоумышленники используют искусственный интеллект для увеличения скорости, масштаба и сложности, а также будет развиваться использование ИИ по мере их развития. Это показывает, что мобильное шпионское программное обеспечение, такое как FallSpy, нацелено на солдат в активной задаче, риск является техническим и затрагивает безопасность жизни.

Показаны предстоящие

Отчет WithSecure предлагает точку, которая уравновешивает таблицу. Цепочки атак GreyVibe не совсем новые, но отмечаются только существующие методы искусственного интеллекта. Оперативные ошибки безопасности группы доказывают, что искусственный интеллект покрывает новичка. В отчете Anthropic показано, что искусственный интеллект ухудшает идентификационную информацию, полноценные автономные атаки пока не созревают. Согласно этому мнению, защитники также могут предоставить преимущества, используя те же инструменты ИИ.

Часто задаваемые вопросы

Кто такой GreyVibe и как он работает?

GreyVibe — группа угроз, о которой сообщает WithSecure в мае 2026 года на основе русскоязычных операторов. С августа 2025 года украинская армия нацелена на государственные учреждения, гражданские структуры и частные компании. Инфраструктура командования установлена в московском часовом поясе, и ее цели покрываются интересами российской разведки.

GreyVibe какие инструменты использует ИИ?

Группа ChatGPT и Google Gemini для разработки кода и редактирования, Ideogram AI используется для визуального производства. Искусственный интеллект также был запущен в написании текстов, производстве поддельного содержимого веб-сайта и подготовке сценариев внутренней инфраструктуры.

Чем отличается поддерживаемая ИИ кибератака от традиционных атак?

Основная разница в скорости и масштабе. Искусственный интеллект позволяет злоумышленникам восстанавливать ловушки и вредоносные программы за несколько часов, а не недель. В кампании GTG-1002, объявленной Anthropic, 80-90 процентов атаки искусственного интеллекта проводилось с несколькими запросами в секунду, что для человеческих команд невозможно.

Что такое атака ClickFix и как она работает?

ClickFix - это метод ловушки, который использует поддельные страницы CAPTCHA или проверки. Пользователь самостоятельно сделал проверку Cloudflare или Zoom и запускает данную команду своими руками. Эта команда начинает загрузку вредоносного ПО в фоновом режиме. GreyVibe использовал этот метод в цепочке PhantomClick.

Что делать для защиты от атак GreyVibe?

Основные шаги, которые не открывают архивные файлы из источников, которые вы не распознаете, запускают команды, которые нужны поддельным страницам проверки, и включают многофакторную аутентификацию в каждой учетной записи. Рекомендуется применять принцип минимальных привилегий для учреждений, систем учета деятельности и раннего предупреждения.

GreyVibe напрямую связана с Россией?

WithSecure заявляет, что у группы недостаточно доказательств, чтобы напрямую связаться с российским государством. Исследователи оценивают связь группы с экосистемой киберпреступности с умеренной уверенностью. Группа находится в серой зоне между киберпреступностью и деятельностью, связанной с государством.

Отношения WithSecure с GreyVibe из сети DroneLink до сих пор исследуются. По мере углубления роли искусственного интеллекта на стороне атаки оборонная сторона будет видна в ближайшие месяцы, которые адаптируются к тем же средствам.