GREYVIBE: Nhóm tin tặc mới sử dụng AI để tấn công Ukraine

Một nhóm tin tặc mới có tên GREYVIBE vừa được các chuyên gia tại WithSecure xác định là thủ phạm đứng sau chuỗi các cuộc tấn công dai dẳng nhắm vào Ukraine và các tổ chức liên quan từ tháng 8/2025. Nhóm này được đánh giá là có liên hệ với Nga, hoạt động trong múi giờ của Nga và có các mục tiêu tình báo phù hợp với lợi ích của Điện Kremlin trong bối cảnh xung đột Nga-Ukraine.

Phương thức tấn công đa dạng

GREYVIBE sử dụng nhiều kỹ thuật tấn công khác nhau để phát tán malware, bao gồm phishing email, các trang web giả mạo CAPTCHA và thậm chí là các trang web người lớn giả danh dịch vụ tại Ukraine. Các công cụ của nhóm bao gồm các bộ loader và obfuscator được tùy chỉnh riêng.

Các chiến dịch tiêu biểu của GREYVIBE bao gồm:

• PhantomMail: Sử dụng email lừa đảo để dẫn dụ nạn nhân tải về các tệp ZIP/RAR chứa loader JavaScript và remote access trojan (RAT) có tên PhantomRelay.
• PhantomClick: Lợi dụng kỹ thuật ClickFix trên các trang web giả mạo dịch vụ Zoom hoặc LAPAS để ép người dùng chạy lệnh độc hại.
• PrincessClub: Sử dụng các trang web người lớn giả mạo để phát tán spyware FallSpy trên Android và các biến thể RAT như LegionRelay trên Windows.
• DroneLink & Nebo: Giả mạo các tổ chức từ thiện hoặc giao diện đăng nhập quân sự để đánh lừa nhân sự quân đội Ukraine.

Sự hỗ trợ từ Generative AI

Điểm đáng chú ý nhất là việc GREYVIBE tận dụng các mô hình ngôn ngữ lớn (LLM) và AI tạo sinh như ChatGPT, Google Gemini và Ideogram AI. Nhóm sử dụng AI để hỗ trợ phát triển malware, tạo hình ảnh lừa đảo, xây dựng hạ tầng server và viết các lệnh điều khiển sau khi xâm nhập. Việc này giúp nhóm rút ngắn thời gian phát triển và bù đắp những thiếu hụt về kỹ năng kỹ thuật.

Ranh giới mờ nhạt giữa tội phạm mạng và gián điệp quốc gia

WithSecure đánh giá GREYVIBE là một nhóm có trình độ kỹ thuật từ thấp đến trung bình. Việc sử dụng AI đôi khi tạo ra các lỗi thiết kế trong malware, cho thấy nhóm này có thể không phải là một tổ chức gián điệp quốc gia thuần túy. Thay vào đó, GREYVIBE có nhiều dấu hiệu liên quan đến hệ sinh thái tội phạm mạng rộng lớn hơn, như việc sử dụng các công cụ exploit từng xuất hiện trong các chiến dịch của nhóm TrickBot, hay việc triển khai trình đào tiền ảo XMRig trên máy nạn nhân.

Các chuyên gia nhận định rằng GREYVIBE đang nằm trong “vùng xám” giữa tội phạm mạng và hoạt động được nhà nước bảo trợ, gây khó khăn cho công tác quy trách nhiệm và phân loại các mối đe dọa hiện nay.

Nguồn tham khảo: The Hacker News