Hackers russos usam LLMs para criar malware, scripts, phishing e infraestrutura C2

Pesquisadores da WithSecure identificaram um grupo até então não documentado, alinhado a interesses russos, que vem usando modelos de linguagem de grande porte em diferentes etapas de ataques contra organizações privadas, governamentais e militares na Ucrânia. O grupo, batizado de Greyvibe, utiliza IA generativa para criar iscas de spear phishing, scripts maliciosos, malware personalizado e infraestrutura de backend, em operações voltadas à coleta de inteligência no contexto da guerra em andamento.

A análise aponta que o Greyvibe faz uso sistemático de inteligência artificial ao longo de suas campanhas, não apenas em tarefas isoladas. Segundo os pesquisadores, as atividades observadas se alinham a interesses do Estado russo, mas alguns indicadores sugerem vínculos com o ecossistema mais amplo do cibercrime, incluindo a possível participação de agentes com histórico atual ou anterior em atividades criminosas.

A primeira campanha atribuída ao grupo foi lançada em agosto de 2025, com e-mails de spear phishing que simulavam comunicações de autoridades e órgãos governamentais ucranianos. Entre as entidades usadas como isca estavam a cidade de Kyiv, a Diretoria Principal do Serviço Estatal de Emergência e o Serviço Estatal de Comunicações Especiais e Proteção da Informação da Ucrânia.

Essas mensagens continham links para arquivos ZIP e RAR hospedados no Google Drive e em um serviço chamado 4sync. Dentro dos arquivos estavam loaders de malware escritos em Python e JavaScript. O payload final era um malware personalizado desenvolvido pelo próprio grupo, chamado PhantomRelay pelos pesquisadores da WithSecure.

Em outubro, o Greyvibe passou a experimentar ataques no estilo ClickFix, usando páginas falsas de CAPTCHA da Cloudflare. Nesse tipo de abordagem, a vítima é induzida a abrir a janela “Executar” do Windows e colar comandos maliciosos. A técnica tem sido usada por diferentes grupos para contornar barreiras tradicionais de segurança, explorando a confiança do usuário em instruções aparentemente legítimas exibidas no navegador.

O grupo também criou sites falsos de clubes adultos em ucraniano e páginas fraudulentas de instituições de caridade que alegavam apoiar as forças militares ucranianas com drones FPV e UAVs. Essas páginas foram usadas para distribuir diferentes famílias de malware, incluindo FallSpy para dispositivos Android e PhantomRelay e LegionRelay para sistemas Windows.

A WithSecure também rastreou um site em russo que, segundo os pesquisadores, pode ter feito parte das operações do grupo. A página mencionava números de centrais telefônicas codificados de forma fixa, associados a telecomunicações seguras normalmente usadas pelas forças militares russas. A vitimologia pretendida dessa atividade ainda não está clara, mas a hipótese mais plausível é que a isca tentava enganar militares ucranianos ao simular acesso a um terminal militar russo.

Malwares personalizados com apoio de IA

O PhantomRelay é um trojan de acesso remoto, ou RAT, escrito em PowerShell. Ele permite executar scripts personalizados recebidos de um servidor de comando e controle, conhecido como C2. Embora variantes desse malware tenham sido vistas em atividades possivelmente não relacionadas ao Greyvibe, o grupo reescreveu completamente a ferramenta e criou uma versão usada exclusivamente em suas próprias operações.

O LegionRelay é outro RAT baseado em PowerShell. Assim como o PhantomRelay, ele pode executar comandos e scripts enviados pelo servidor C2. A ferramenta foi usada para enumeração de arquivos, exfiltração de dados, captura de screenshots, roubo de dados de navegadores, coleta de informações do Telegram e WhatsApp, configuração de acesso via RDP e outras ações pós-comprometimento.

Já o FallSpy é um spyware para Android projetado para coletar uma ampla variedade de informações do dispositivo infectado. Entre os dados visados estão contatos, registros de chamadas, lista de aplicativos instalados, números de telefone vinculados ao SIM, informações do aparelho e da rede, SSID de Wi-Fi, última localização conhecida, endereço IP público e arquivos de mídia.

Além dessas famílias principais, os pesquisadores observaram scripts personalizados usados para ofuscação e carregamento de malware. Entre eles estão LOOKVALPS, escrito em PowerShell; LOOKVALJS, em JavaScript; DAYLIGHT, também em PowerShell; e TEASOUP, em JavaScript.

A WithSecure avaliou, com confiança moderada, que várias dessas ferramentas personalizadas foram desenvolvidas com auxílio de modelos de linguagem. O LegionRelay, em particular, assim como a infraestrutura de backend usada para operá-lo, apresentou fortes indicadores de geração por IA. Os pesquisadores acreditam que algumas das plataformas usadas pelos invasores incluem Ideogram AI, ChatGPT e Google Gemini.

O uso de IA pelo Greyvibe não parece limitado à criação de textos de phishing ou à geração de pequenos trechos de código. De acordo com a análise, o grupo emprega inteligência artificial em múltiplas fases operacionais, incluindo desenvolvimento de malware, criação de scripts, montagem de infraestrutura e preparação de iscas voltadas a públicos específicos.

Essa abordagem pode permitir que o grupo compense lacunas técnicas, acelere ciclos de desenvolvimento e reduza vínculos históricos com atividades anteriores. Em outras palavras, ao usar IA generativa para criar ou reescrever ferramentas, os operadores podem diversificar seu conjunto de técnicas e dificultar a detecção, o rastreamento e a atribuição das campanhas.

A descoberta também reforça uma mudança importante no cenário de ameaças: grupos alinhados a interesses estatais ou híbridos, com possíveis conexões com o cibercrime, estão incorporando IA não apenas como recurso auxiliar, mas como parte do processo operacional. Isso pode aumentar a velocidade de adaptação, a variedade das campanhas e a complexidade das investigações.

No caso do Greyvibe, os alvos observados indicam foco em coleta de inteligência relacionada à Ucrânia. As campanhas envolveram organizações privadas, órgãos governamentais e entidades militares, com iscas cuidadosamente adaptadas ao contexto local, incluindo mensagens em ucraniano, referências a instituições oficiais e páginas fraudulentas ligadas a temas sensíveis da guerra.

Para equipes de segurança, o caso mostra a importância de monitorar não apenas indicadores tradicionais de malware, mas também padrões de comportamento em campanhas que combinam phishing, abuso de serviços legítimos de hospedagem, scripts ofuscados, execução via PowerShell, roubo de dados de mensageiros e tentativa de acesso remoto.

A presença de ferramentas como PhantomRelay, LegionRelay e FallSpy indica uma cadeia de ataque voltada à persistência, coleta de informações e exfiltração de dados. Já o uso de ClickFix, sites falsos e arquivos hospedados em plataformas conhecidas mostra uma tentativa de reduzir suspeitas e explorar a confiança do usuário em serviços amplamente utilizados.

A WithSecure avalia que o tradecraft do Greyvibe deve continuar evoluindo e se diversificando. Com o uso intensivo de modelos de linguagem e ferramentas generativas, o grupo pode modificar rapidamente sua infraestrutura, alterar scripts, criar novas iscas e adaptar malwares conforme a resposta dos defensores.

O caso amplia o debate sobre o impacto da IA generativa em operações ofensivas. Embora modelos de linguagem não substituam completamente conhecimento técnico, eles podem reduzir barreiras de entrada, acelerar tarefas repetitivas e permitir que grupos com capacidades intermediárias desenvolvam ferramentas mais sofisticadas em menos tempo.

Para organizações em setores sensíveis, especialmente em países envolvidos em conflitos geopolíticos ou próximos a temas estratégicos, a investigação reforça a necessidade de defesa em profundidade. Isso inclui treinamento contra phishing, bloqueio e monitoramento de execução de scripts, análise de comportamento em endpoints, proteção de dispositivos móveis, inspeção de tráfego C2, controle de acesso remoto e detecção de exfiltração em aplicativos como navegadores, mensageiros e serviços de armazenamento.