Штучний інтелект на службі кібершпигунства: як хакери GreyVibe атакують українські організації
Хто такі GreyVibe і чому варто бути пильними?
Група кіберзлочинців під назвою GreyVibe використовує потужні інструменти штучного інтелекту для створення фішингових пасток і власного шкідливого програмного забезпечення. Їхні цілі — військові, урядові, цивільні та бізнесові структури, переважно в Україні або пов’язані з нею.
Активність групи, імовірно пов’язана з інтересами російської держави, зафіксована принаймні з серпня 2025 року. Проте дослідники поки що не можуть остаточно визначити, чи є це повноцінною операцією державного рівня.
Які методи застосовують хакери?
Фахівці компанії WithSecure, які розслідували цю атаку, виділяють кілька специфічних схем, за допомогою яких GreyVibe робить свої злочини:
- PhantomMail: цілеспрямовані спам-листи з шкідливими ZIP або RAR файлами, які поширюють через Google Drive і 4sync, маскуються під документи уряду, екстрених служб, телекомунікацій чи енергетики;
- PhantomClick: фальшиві CAPTCHA або сторінки перевірки, які видають себе за Zoom або LAPAS, змушують користувачів запускати шкідливі команди, під виглядом перевірки від Cloudflare;
- PrincessClub: підроблені українські сайти для дорослих та знайомств, через які поширюються Android-шпигуни FallSpy та Windows-малварі PhantomRelay і LegionRelay; оператори вдаються до вигаданих жіночих персонажів у Telegram і навіть організовують онлайн-дзвінки з записом аудіо і відео через WebRTC;
- DroneLink: фальшиві сайти благодійних організацій для військових на тему FPV-дронів, які переплітаються з інфраструктурою PrincessClub;
- Nebo: підроблені сторінки російського військового зв’язку “СПО НЕБО”, розраховані на те, щоб ввести в оману українських військових, змусивши думати, що вони заходять у справжній російський термінал.
Як штучний інтелект допомагає кіберзлочинцям?
Велика частина привабливості і реалістичності пасток GreyVibe — заслуга штучного інтелекту. Для створення контенту вони використовують такі інструменти, як ChatGPT, Ideogram AI і Google Gemini. Завдяки цьому уловки виглядають деталізованими і дуже правдоподібними.
Крім того, AI допоміг у розробці різних обфускаторів — спеціальних програм для приховування шкідливих кодів. У переліку — інструменти LOOKVALPS, LOOKVALJS, DAYLIGHT і TEASOUP. Також за допомогою штучного інтелекту напрацьований PowerShell тр Trojan LegionRelay, що виконує різноманітні злочинні функції.
Функції шкідливого програмного забезпечення LegionRelay
- Крадіжка файлів і знімків екрану;
- Крадіжка облікових даних браузера;
- Викрадення даних з Telegram та WhatsApp;
- Налагодження віддаленого доступу через RDP.
Ще один RAT від GreyVibe — PhantomRelay, також базується на PowerShell. Він виконує збір інформації про систему, динамічне завантаження скриптів та запуск команд як через PowerShell, так і стандартні командні рядки Windows.
Додаткові інструменти і шпигунські програми
У кампаніях PrincessClub та Nebo використовувався Android-шпигун FallSpy. Він акумулює контактні списки, історію дзвінків, інформацію про пристрій і мережу, локації, мультимедійні файли та дані SIM-карти.
Загалом активність GreyVibe схожа на дії державних гравців, але при цьому дослідники відзначають певний рівень недисциплінованості і відсутність типової для розвинених кібероперацій чіткої організації. Це зокрема проявляється у публічній загрузці тестових зразків шкідливого ПЗ та використанні криптомайнерів на заражених системах.
Особливості поведінки GreyVibe, що викликають питання
- Використання у тестових зразках унікального ISO-білдера, пов’язаного з колишніми членами TrickBot;
- Публічна публікація розроблених шкідливих файлів;
- Застосування криптовалютних майнерів для додаткового незаконного прибутку.
За версією дослідників, у складі групи можуть бути як колишні чи нинішні кіберзлочинці, так і люди, які координуються з державними структурами або працюють у змішаних командах.
Як захиститись від атак GreyVibe?
Щоб мінімізувати ризики вторгнення, організаціям радять впроваджувати заходи захисту, базовані на індикаторах компрометації, представлених компанією WithSecure. Включайте постійний моніторинг мережевого трафіку, навчайте персонал розпізнавати фішингові атаки та періодично оновлюйте засоби боротьби з шкідливим ПЗ.
Використання сучасних антивірусних програм, систем виявлення вторгнень і комплексна кібергігієна допоможуть захистити інформаційні ресурси від проникнення загроз на зразок GreyVibe.
