Новый вредоносный набор Gryxa создан с использованием коммерческого ИИ-агента для написания кода и используется для атак на сотни компьютеров. Инструмент позволяет злоумышленнику получать первоначальный доступ к системам, закрепляться в них и похищать данные. Впервые ИИ помог создать и управлять всей операцией такого масштаба.
Описание
Gryxa превращает легитимное программное обеспечение для удалённого управления в скрытый канал доступа. Он поддерживает работоспособность через несколько независимых механизмов перезапуска, поэтому удаление одного компонента не останавливает атаку. Кроме того, инструмент крадёт учётные данные, сохранённые в браузерах, и получает доступ к криптовалютным кошелькам. Такая схема даёт оператору устойчивый доступ к хосту.
Наиболее необычной особенностью Gryxa оказывается его реакция на действия защитников. Аналитики ReliaQuest выяснили, что после удаления видимого компонента удалённого доступа другой элемент набора собирает журналы Windows и сведения об удалении, после чего отправляет их злоумышленнику. Таким образом атакующий видит, какие инструменты и учётные записи применялись для реагирования. Собранный архив включает журналы установки, служб, сведения о запущенных процессах и список инструментов удалённого доступа на машине. При этом частичное сдерживание запускает ответные меры: если связь с управляющим сервером прерывается, набор пытается отключить или удалить защитное ПО в течение примерно десяти минут.
Вывод об участии ИИ опирается на анализ публичного репозитория, где размещены исходные коды. В большинстве коммитов (записей изменений) стоит пометка об ИИ-агенте как соавторе. Кроме того, в репозитории лежат инженерные заметки и разборы неудачных установок, а поздние версии кода исправляют именно те проблемы, которые описаны в этих заметках. Это указывает на итеративный процесс разработки, а не на однократную генерацию кода. По оценке ReliaQuest, злоумышленник обходил ограничения ИИ, помечая код как легитимное лабораторное тестирование. Такой подход контрастирует с прежним использованием ИИ для отдельных задач, например для написания команд.
Управление заражёнными машинами идёт через специальную веб-консоль. В ней было видно 324 хоста, причём 69 из них оставались активны на момент анализа. Один оператор, используя ИИ-помощника, смог выстроить и сопровождать инфраструктуру такого размера, что раньше потребовало бы усилий небольшой команды. При этом не каждый хост в списке обязательно является подтверждённой жертвой, однако само наличие консоли говорит о централизованном управлении. Такая инфраструктура позволяет оператору быстро менять компоненты на всех заражённых машинах, что снижает ценность файловых индикаторов.
Для сохранения доступа набор создаёт не менее семи запланированных задач, постоянную подписку на системные события Windows и резервную копию своих файлов вне основного каталога. Механизмы восстановления работают независимо, поэтому удаление любой части приводит к её восстановлению в течение минуты. В итоге удаление видимого клиента удалённого доступа само по себе не избавляет от угрозы, а лишь вызывает защитную реакцию набора. Кроме того, набор умеет удалять конкурирующие программы удалённого доступа, что может скрывать следы других злоумышленников.
Кража данных направлена на пароли из браузеров на основе Chromium. Для этого инструмент использует несколько методов, включая заимствование контекста доверенного процесса и обращение к службе повышения привилегий самого браузера. Это позволяет обойти защиту, которую Google добавила в 2024 году. Инструмент проверяет украденные пароли по списку доменов криптовалютных бирж и финансовых сервисов. Совпадения отправляются злоумышленнику вместе с именем пользователя и данными о хосте. Для криптовалютных кошельков фиксируется только факт установки, а доступ к ним оператор получает вручную через удалённую сессию.
Данные покидают заражённую машину через мессенджер Telegram, а не через основной канал управления. Три разных бота отправляют информацию в один и тот же аккаунт, что подтверждает версию об одном операторе. Если модуль кражи данных запускался на хосте, нужно считать скомпрометированными все пароли, сохранённые в браузере, и ротировать их. Инструмент расшифровывает всё, до чего может добраться, поэтому даже неиспользованные пароли могли быть прочитаны.
В отчёте подчёркивают важность правильного порядка сдерживания. Сначала необходимо заблокировать инфраструктуру злоумышленника, а затем удалять все механизмы закрепления и рабочие папки за один проход. Если удалить только видимый сервис, это приведёт к тому, что через некоторое время набор начнёт отключать защитное ПО. Также не следует разворачивать собственные средства удалённого администрирования на заражённом хосте, пока он не очищен, поскольку набор может их удалить. В расследованном случае скомпрометированная учётная запись не существовала в каталоге организации, так как устройство находилось вне централизованного управления. Это типичная ситуация для подрядчиков и личных устройств сотрудников. Набор также восстанавливает работу антивируса после восстановления связи с управляющим сервером, поэтому исправное состояние защиты не гарантирует чистоту системы.
Использование ИИ при разработке Gryxa упрощает создание вредоносных операций. Вероятно, в ближайшие 12 месяцев появятся новые операции подобного масштаба, выполняемые операторами без глубоких навыков разработки. Поэтому защитникам стоит переходить от отслеживания конкретных вредоносных программ к обнаружению аномального поведения, которое сложнее замаскировать.
