GREYVIBE-uhka-näyttelijä

Aiemmin tunnistamaton uhkatoimija nimeltä GREYVIBE on yhdistetty jatkuvaan kybervakoilukampanjaan, joka on kohdistunut Ukrainaan ja maahan kytköksissä oleviin organisaatioihin ainakin elokuusta 2025 lähtien. Analyysin mukaan ryhmä toimii pääasiassa Venäjän aikavyöhykkeellä ja kommunikoi venäjäksi. Sen toiminta on läheisesti linjassa Venäjän valtion etujen kanssa, erityisesti meneillään olevaan Venäjän ja Ukrainan väliseen konfliktiin liittyvien tiedustelutietojen keräämisen kanssa.

GREYVIBE on kohdistanut toimiaan laajaan joukkoon sektoreita, kuten sotilaslaitoksiin, valtion virastoihin, siviilijärjestöihin ja yksityisiin yrityksiin. Vaikka ryhmän toiminnalla on kansallisvaltiotoimintaan liittyviä piirteitä, todisteet viittaavat myös yhteyksiin laajempaan Venäjän kyberrikollisuusmaisemaan yksilöiden kautta, joiden uskotaan olevan nykyisiä tai entisiä kyberrikollisia.

Erilaiset tartuntamenetelmät ja mukautettu haittaohjelma-arsenaali

Uhkatoimija käyttää uhrien vaarantamiseen useita erilaisia toimitusmekanismeja. Näitä ovat tarkasti kohdennetut tietojenkalastelukampanjat, harhaanjohtavat CAPTCHA-vahvistussivut ja vilpilliset ukrainalaisteemaiset aikuisviihdesivustot. GREYVIBE luottaa toiminnassaan jatkuvasti sisäisesti kehitettyihin haittaohjelmiin, latausohjelmiin ja hämärrystyökaluihin välttääkseen havaitsemisen ja ylläpitääkseen pääsyn vaarantuneisiin järjestelmiin.

Useita erillisiä hyökkäyskehyksiä on havaittu:

• PhantomMail levittää haitallisia ZIP- ja RAR-arkistoja huijaussähköpostien kautta, jotka sisältävät Google Drivessa ja 4syncissä isännöityjä linkkejä. Nämä arkistot sisältävät JavaScript-lataajia, jotka käynnistävät harhautustiedostoja samalla, kun ne ottavat käyttöön PhantomRelayn, PowerShell-pohjaisen etäkäyttötroijalaisen (RAT), joka pystyy järjestelmän tiedusteluun ja komentojen suorittamiseen etänä.
• PhantomClick hyödyntää ClickFix-tyylisiä väärennettyjä CAPTCHA-sivuja, joita ylläpidetään Zoom- ja LAPAS-palveluiden kaltaisilla verkkotunnuksilla. Uhreja manipuloidaan suorittamaan komentoja, jotka laukaisevat PhantomRelay-tartuntaketjun.
• PrincessClub käyttää väärennettyjä ukrainalaisia aikuisviihdeklubisivustoja levittääkseen FallSpy-vakoiluohjelmia Android-laitteille ja joko PhantomRelayV1:tä tai LegionRelayta Windows-järjestelmille. Näiden verkkosivustojen myöhemmissä versioissa on sisällytetty WebRTC-pohjainen reaaliaikainen puhelutoiminto uhrien äänen ja videon tallentamiseen. FallSpy pystyy keräämään arkaluonteisia tietoja tartunnan saaneista Android-laitteista, kun taas LegionRelay tukee tiedostojen etsintää, tietojen varastamista, kuvakaappausten ottamista, selaimen tunnistetietojen poimimista, Telegram- ja WhatsApp-tiedonkeruua sekä Remote Desktop Protocol (RDP) -konfigurointia. PhantomRelayV1 laajentaa alkuperäistä PhantomRelayta lisäämällä mukautetun valvontamekanismin.
• DroneLink naamioituu hyväntekeväisyysjärjestöiksi, jotka tukevat Ukrainan asevoimia, ja toimittaa WireGuardia LegionRelayn rinnalla.
• Nebo ottaa käyttöön FallSpy-variantin, joka on naamioitu venäjänkieliseksi kirjautumisportaaliksi, jonka tarkoituksena on todennäköisesti huijata Ukrainan sotilashenkilöstöä uskomaan, että he käyttävät laillista Venäjän armeijan järjestelmää.

Tekoäly voiman moninkertaistajana

Yksi GREYVIBEn toiminnan merkittävimmistä puolista on sen ilmeinen riippuvuus generatiivisesta tekoälystä ja laajoista kielimalleista hyökkäyskyvyn parantamiseksi. Todisteet viittaavat siihen, että ryhmä on hyödyntänyt alustoja, kuten Ideogram AI, OpenAI ChatGPT ja Google Gemini, kuvien luomisessa, haittaohjelmien kehittämisessä, komentosarjojen hämärtämisessä, taustajärjestelmän infrastruktuurin luomisessa ja tietomurron jälkeisissä toiminnoissa.

Tämä tekoälyavusteinen lähestymistapa tarjoaa useita toiminnallisia etuja. Se auttaa kompensoimaan teknisiä osaamisvajeita, nopeuttaa kehityssyklejä ja vähentää riippuvuutta aiemmin tunnistetuista haittaohjelmaperheistä ja työkaluista, jotka voisivat helpottaa attribuutiota.

Tekoälyn lisääntyvä käyttö kyberoperaatioissa on merkittävä haaste puolustajille. Uhkatoimijat voivat nopeasti luoda, muokata tai korvata työkalupakkojensa osia, mikä heikentää perinteisten attribuutiomenetelmien tehokkuutta. Nämä menetelmät perustuvat vakaisiin teknisiin indikaattoreihin ja toistuviin haittaohjelmaesineisiin.

Toiminnalliset heikkoudet paljastavat kehitysvajeita

Vaikka GREYVIBE on hyötynyt tekoälyavusteisesta kehityksestä, se on osoittanut useita toiminnallisia tietoturvapuutteita. Tutkijat tunnistivat LegionRelayn suunnitteluvirheitä, jotka tahattomasti paljastivat taustajärjestelmän toimintoja ja antoivat tietoa haittaohjelman sisäisestä toiminnasta.

Tällaiset virheet ovat yleensä harvinaisia erittäin kehittyneiden valtion tukemien toimijoiden keskuudessa, mikä viittaa siihen, että GREYVIBE ei välttämättä edusta perinteistä tiedustelupalvelun operaatiota. Sen sijaan ryhmällä näyttää olevan alhainen tai kohtalainen tekninen hienostuneisuus ja se hyödyntää tekoälyteknologioita parantaakseen kykyjään luontaisen taitotasonsa ulkopuolella.

Kyberrikollisyhteyksien indikaattorit

Useat havainnot viittaavat siihen, että GREYVIBE:llä on yhteyksiä laajempaan Venäjän kyberrikollisuuden ekosysteemiin:

• Pääsy ISO-rakennusalan laitokseen tai sellaisen käyttö, jolla epäillään olevan yhteyksiä TrickBot-jengiin ja UAC-0098:aan.
• PhantomRelay-varianttien havaitseminen näennäisesti toisiinsa liittymättömissä kyberrikolliskampanjoissa, mukaan lukien heinäkuun 2025 ja helmikuun 2026 välisenä aikana toteutetut Microsoft Teamsin äänihuijausoperaatiot ja helmikuun ja maaliskuun 2026 välisenä aikana havaitut KongTuke-toimituskampanjat, joissa käytettiin ClickFix-tekniikoita.
• Varhaisen kehitysvaiheen ja testausnäytteiden lataukset.
• Epävirallisten internet-slangisanojen, kuten 'letsrollboyos', 'totallyunsus' ja 'cuteuwu', käyttö kehitysartefaktien nimeämiskäytännöissä.
• XMRig-kryptovaluutan louhintaohjelman käyttöönotto rajoitetussa määrässä LegionRelay-tartunnan saaneita järjestelmiä.

Nämä indikaattorit tukevat kohtalaisen luotettavuusarviota siitä, että GREYVIBE:llä on merkityksellisiä yhteyksiä kyberrikollisverkostoihin, ja matalan tai kohtalaisen luotettavuusarvion siitä, että jotkut jäsenet saattavat olla tai ovat aiemmin olleet osallisina kyberrikollisuudessa.

Valtion ja rikollisen toiminnan välisen rajan hämärtyminen

GREYVIBEn ja Venäjän valtion välisen suhteen tarkka luonne on edelleen epävarma. Useita mahdollisuuksia on olemassa, mukaan lukien kyberrikollishenkilöstön integrointi valtion tukemaan organisaatioon, itsenäiset toimijat, jotka suorittavat valtion määräämiä tehtäviä, tai hybridirakenteen muodostaminen, joka yhdistää rikollisia ja valtioon kytköksissä olevia elementtejä.

Tämän seurauksena GREYVIBE sijoittuu monimutkaiseen tilaan perinteisen kyberrikollisuuden ja hallitukseen sidottujen kyberoperaatioiden väliin. Tämä päällekkäisyys vaikeuttaa attribuutiopyrkimyksiä ja korostaa yhä hämärtyvämpiä rajoja taloudellisesti motivoituneen kyberrikollisen toiminnan ja valtion tukemien tiedusteluoperaatioiden välillä.