GreyVibe: jak rosyjska grupa hakerska wykorzystuje AI do ataków na Ukrainę i co to oznacza dla firm

Od sierpnia 2025 roku aktywna jest grupa cyberprzestępcza śledzona jako GreyVibe, która – jak wynika z raportu firmy WithSecure opisanego przez BleepingComputer – prowadzi kampanie szpiegowskie wymierzone przede wszystkim w organizacje ukraińskie lub związane z Ukrainą. Ataki te wyróżnia szerokie wykorzystanie sztucznej inteligencji: od generowania wiarygodnych treści phishingowych po wspomaganie tworzenia własnych narzędzi malware. Choć celem są głównie podmioty w Ukrainie, mechanizmy i techniki stosowane przez GreyVibe mogą być wkrótce zaadaptowane przez inne grupy, także działające przeciwko firmom w Polsce. Warto więc poznać ich metody i przygotować odpowiednie zabezpieczenia.

Kim jest GreyVibe i na kogo poluje?

GreyVibe to prawdopodobnie rosyjskojęzyczna grupa, której aktywność – zdaniem badaczy WithSecure – „wydaje się zgodna z interesami państwa rosyjskiego”, choć nie można jej jednoznacznie sklasyfikować jako operacji państwowej. Wskazują na to m.in. język paneli malware, komentarze w kodzie oraz czas serwerów C2 ustawiony na UTC+3 (czas moskiewski). Grupa atakuje sektor wojskowy, rządowy, cywilny i biznesowy, koncentrując się na Ukrainie. W kampaniach wykorzystuje co najmniej pięć różnych łańcuchów ataku, z których każdy ma odrębną nazwę i zestaw narzędzi.

Pięć twarzy GreyVibe – od fałszywych CAPTCHA po randkowe pułapki

WithSecure wyróżnia następujące kampanie:

• PhantomMail – spear-phishing z załącznikami ZIP/RAR dostarczanymi przez Google Drive i 4sync. Ofiary otrzymują fałszywe dokumenty podszywające się pod ukraińskie instytucje rządowe, służby ratunkowe, telekomy i energetykę.
• PhantomClick – fałszywe strony CAPTCHA/ClickFix udające witryny Zoom i LAPAS. Ofiara jest nakłaniana do uruchomienia komendy, która infekuje system.
• PrincessClub – fikcyjne ukraińskie serwisy randkowe i dla dorosłych, które dystrybuują spyware FallSpy na Androida oraz trojany PhantomRelay i LegionRelay na Windows. Operatorzy używali fałszywych profili Telegramu i połączeń WebRTC do przechwytywania audio/wideo ofiary.
• DroneLink – fałszywe strony zbiórek na drony FPV dla ukraińskiego wojska, współdzielące infrastrukturę z PrincessClub.
• Nebo – strony podszywające się pod rosyjski wojskowy system komunikacji „СПО НЕБО”, prawdopodobnie mające na celu wyłudzenie danych od ukraińskich żołnierzy.

Różnorodność i realizm tych pułapek to zasługa narzędzi AI, takich jak ChatGPT, Ideogram AI i Google Gemini. Jak zaznaczają badacze, modele językowe pozwoliły GreyVibe generować szczegółowe i wiarygodne treści wspierające każdą z kampanii.

AI nie tylko do treści – także do tworzenia malware

GreyVibe nie ogranicza się do używania AI do pisania wiadomości. Zespół WithSecure odkrył, że atakujący prawdopodobnie korzystali z dużych modeli językowych (LLM) przy tworzeniu własnych narzędzi: obfusaktorów LOOKVALPS, LOOKVALJS, DAYLIGHT i TEASOUP, a także trojana zdalnego dostępu LegionRelay napisanego w PowerShellu. LegionRelay umożliwia kradzież plików, zrzutów ekranu, haseł przeglądarek, danych z Telegrama i WhatsAppa oraz konfigurację dostępu RDP. Drugi trojan, PhantomRelay, również PowerShellowy, pozwala na fingerprinting systemu, dynamiczne ładowanie skryptów oraz wykonywanie poleceń PowerShell i cmd.

W kampaniach PrincessClub i Nebo wykorzystywano także spyware na Androida – FallSpy, który zbiera listy kontaktów, historię połączeń, dane lokalizacyjne, pliki multimedialne i informacje o karcie SIM. To pokazuje, że GreyVibe atakuje zarówno komputery, jak i urządzenia mobilne.

Co to oznacza dla polskich firm i jak się bronić?

Choć GreyVibe koncentruje się na Ukrainie, mechanizmy ataku są uniwersalne. Każda organizacja, która współpracuje z partnerami w regionie lub przetwarza dane wrażliwe, może stać się celem podobnych kampanii. Kluczowe wnioski defensywne:

• Szkolenia pracowników – zwracaj uwagę na nietypowe prośby o kliknięcie w CAPTCHA, logowanie przez fałszywe strony Zoom czy podejrzane załączniki. AI potrafi tworzyć bardzo realistyczne wiadomości, dlatego tradycyjne sygnały ostrzegawcze (błędy językowe, nieprofesjonalny layout) mogą nie działać.
• Segmentacja sieci i ograniczenie uprawnień – nawet jeśli jedno konto zostanie przejęte, nie powinno umożliwiać dostępu do całej infrastruktury.
• Monitorowanie PowerShell i nietypowych procesów – trojany GreyVibe są pisane w PowerShellu, więc warto wdrożyć reguły detekcji dla podejrzanych skryptów.
• Aktualizacje i EDR – nowoczesne rozwiązania Endpoint Detection and Response mogą wykryć anomalie związane z PhantomRelay czy LegionRelay. WithSecure udostępnił wskaźniki kompromitacji (IoCs), które można zaimportować do systemów SIEM.
• Ochrona urządzeń mobilnych – FallSpy atakuje Androida, dlatego warto stosować politykę MDM i blokować instalację aplikacji spoza oficjalnego sklepu.

GreyVibe to przykład, jak AI obniża próg wejścia do zaawansowanych operacji szpiegowskich. Nie trzeba już być ekspertem od phishingu, by tworzyć skuteczne kampanie – wystarczy odpowiednio użyć modeli językowych. Dla organizacji oznacza to konieczność ciągłego podnoszenia świadomości i inwestowania w detekcję opartą na zachowaniu, a nie tylko na sygnaturach. Warto obserwować raporty WithSecure i innych firm bezpieczeństwa, by na bieżąco aktualizować listę zagrożeń.