LegionRelay pokazuje, jak wykorzystanie AI w rozwoju narzędzi ofensywnych może iść w parze z coraz bardziej zaawansowanym podejściem do infrastruktury C2. W tym tygodniu przyglądamy się również ewolucji ClickFix, która wykracza poza schematy znane z dotychczasowych kampanii, oraz zagrożeniom ukrytym w oprogramowaniu fabrycznym urządzeń mobilnych w ramach kampanii Midnight Mimosa. 

Zaawansowane zagrożenia

GREYVIBE i LegionRelay. AI w operacjach ofensywnych oraz infrastruktura C2 pod lupą

• Analiza Team Cymru pokazała, że korelacja charakterystycznych parametrów serwerów C2 pozwala identyfikować dodatkowe zasoby, których nie wymieniono w pierwotnych raportach. 
• Wykorzystanie LLM nie ogranicza się do generowania treści phishingowych. Według WithSecure obejmuje również rozwój malware i innych komponentów wykorzystywanych podczas operacji.
• GREYVIBE prowadzi operacje obejmujące podmioty wojskowe, administrację publiczną, sektor cywilny i przedsiębiorstwa. CERT-UA opisał równolegle kampanie klastra UAC-0247 wymierzone m.in. w samorządy i placówki ochrony zdrowia.

GREYVIBE to klaster aktywności śledzony przez WithSecure, którego operacje obserwowane są co najmniej od sierpnia 2025 r. Badacze wskazują na zgodność celów tej aktywności z interesami rosyjskiego państwa, szczególnie w zakresie pozyskiwania informacji dotyczących Ukrainy. Jednocześnie zidentyfikowano przesłanki sugerujące powiązania operatorów z ekosystemem cyberprzestępczym. Na obecnym etapie nie ustalono definitywnych powiązań GREYVIBE z wcześniej śledzoną grupą. 

Istotnym elementem arsenału jest LegionRelay — niestandardowy RAT napisany w PowerShellu, komunikujący się z infrastrukturą C2 za pośrednictwem REST API. Narzędzie umożliwia m.in. wykonywanie poleceń, enumerację plików, przechwytywanie zrzutów ekranu oraz pozyskiwanie danych z przeglądarek i komunikatorów. Jego możliwości mogą być rozszerzane przez skrypty dostarczane przez operatorów po uzyskaniu dostępu do systemu. 

AI jako narzędzie rozwoju operacji ofensywnych 

Jednym z ciekawszych aspektów aktywności GREYVIBE jest skala wykorzystania generatywnej AI. Według WithSecure nie chodzi wyłącznie o tworzenie przekonujących wiadomości phishingowych. Analiza artefaktów wskazuje na użycie narzędzi takich jak ChatGPT, Google Gemini i Ideogram AI przy przygotowywaniu materiałów graficznych, fałszywych stron internetowych oraz komponentów wykorzystywanych w operacjach, w tym loaderów, obfuskatorów i własnego malware. 

Istotne jest to, że wnioski badaczy nie opierają się wyłącznie na subiektywnej ocenie stylu kodu. W analizowanych artefaktach znaleziono charakterystyczne znaczniki, komentarze i komunikaty debugowania wskazujące na możliwe wspomaganie procesu developmentu przez modele językowe. Część komentarzy odnosiła się bezpośrednio do zamierzonej logiki implementacyjnej, m.in. wykorzystania conhost.exe –headless oraz mechanizmu łączącego uruchomienie złośliwego payloadu z wyświetleniem ofierze przynęty. Pojedynczy artefakt tego rodzaju nie stanowi samodzielnego dowodu wykorzystania AI. Ich powtarzalność w różnych komponentach operacji zwiększa jednak wiarygodność takiej interpretacji. 

Szczególną uwagę zwraca LegionRelay, którego rozwój prawdopodobnie był wspierany przez LLM. Podobne podejrzenia dotyczą własnych mechanizmów obfuskacji i loaderów. AI może zatem wspierać przeciwnika na kilku etapach operacji: od przygotowania materiałów socjotechnicznych, przez rozwój narzędzi, po tworzenie skryptów wykorzystywanych po uzyskaniu dostępu do systemu. 

Z perspektywy CTI rodzi to dwa istotne następstwa. Po pierwsze, wykorzystanie modeli językowych może skracać czas przygotowania i modyfikowania komponentów ofensywnych, ułatwiając prowadzenie kilku równoległych kampanii. Po drugie, częste zmiany implementacji mogą ograniczać skuteczność atrybucji opartej wyłącznie na podobieństwie kodu. Nie oznacza to jednak, że klasyczne wskaźniki kompromitacji tracą wartość. Zwiększa się natomiast znaczenie korelowania wielu warstw danych: infrastruktury, zachowania narzędzi, łańcuchów infekcji oraz artefaktów pozostawionych podczas developmentu. 

LegionRelay i infrastruktura C2 pod lupą 

Uzupełnieniem obrazu zagrożenia jest analiza Team Cymru z 14 października 2026 r. Badacze zestawili ustalenia WithSecure z publikacją CERT-UA dotyczącą aktywności oznaczonej jako UAC-0247. W obu zestawach danych zaobserwowano wspólne serwery, co skłoniło badaczy do dokładniejszego przeanalizowania ich charakterystyki technicznej. 

Analiza ujawniła zestaw powtarzalnych cech infrastruktury: ASN AS26383, port 8000, banner „France Education” oraz serwer aplikacyjny Uvicorn. Korelacja tych parametrów pozwoliła Team Cymru zidentyfikować pięć dodatkowych serwerów niewymienionych we wcześniejszych raportach. Na znaczenie tego powiązania wskazywało również podobieństwo udostępnianej strony logowania do tej udokumentowanej wcześniej przez WithSecure. To przykład wykorzystania sygnatury infrastrukturalnej do rozszerzania wiedzy o aktywności przeciwnika poza zbiór wcześniej opublikowanych wskaźników kompromitacji. Zamiast ograniczać się do wyszukiwania znanych adresów IP, analitycy mogą identyfikować kolejne zasoby na podstawie kombinacji charakterystycznych parametrów usług i konfiguracji serwerów. 

Należy jednak rozróżnić korelację infrastruktury od potwierdzenia tożsamości operatora. Wspólne serwery i podobieństwo techniczne wzmacniają hipotezę o związku analizowanych aktywności, ale same w sobie nie przesądzają, że GREYVIBE i UAC-0247 są tym samym podmiotem. Do ustalenia charakteru tej relacji potrzebne są dodatkowe dowody, uwzględniające m.in. zachowanie narzędzi, łańcuchy infekcji i kontekst operacyjny

Patrząc szerzej

GREYVIBE jest interesującym przykładem dwóch równoległych zmian w krajobrazie zagrożeń. Pierwsza dotyczy wykorzystania AI do przyspieszania rozwoju narzędzi i wspierania kolejnych etapów operacji. Druga — rosnącego znaczenia analizy infrastrukturalnej, która pozwala łączyć pozornie odrębne obserwacje w szerszy obraz aktywności przeciwnika. 

Z perspektywy CTI i Threat Huntingu warto zwrócić uwagę na to, że sama lista IOC szybko traci aktualność. Większą wartość może przynieść identyfikowanie powtarzalnych cech usług C2, korelowanie ich z danymi pasywnymi i aktywnymi oraz okresowe wyszukiwanie nowych zasobów o podobnej charakterystyce. 

Warto jednocześnie zachować ostrożność atrybucyjną: pokrywanie się infrastruktury i podobieństwo techniczne wspierają korelację, ale same w sobie nie dowodzą, że wszystkie obserwowane działania prowadzi ten sam operator.

Więcej informacji:  
https://www.team-cymru.com/post/threat-hunting-legionrelay-c2-servers-ukraine 
https://cert.gov.ua/article/6288271 
https://www.withsecure.com/fi/resurssit/w-labs/greyvibe/ 

Oszustwa i podszycia

ClickFix ewoluuje i przynosi coraz groźniejsze skutki

• Techniki ClickFix nieustannie ewoluują uodparniając się na standardowe reguły detekcji tworzone na bieżąco. Tym razem opisujemy wykorzystanie cache przeglądarki do dostarczenia payloadu zamiast pobrania go z internetu lub zawarcia w komendzie wstrzykniętej do schowka.
• Niepokojące jest także zróżnicowanie w celach atakujących korzystających z tej techniki. Już nie tylko infostealery i RATy, ale także ransomware może dotrzeć w ten sposób do organizacji.
• Obserwowane nowości w atakach z wykorzystaniem techniki ClickFix powinny zachęcić obrońców do kompleksowego podejścia do problemu i usprawniania wykrywania ataków na wszystkich ich etapach.

ClickFix wykorzystuje socjotechnikę do nakłonienia użytkownika do samodzielnego uruchomienia złośliwego polecenia. Przynęta zwykle przyjmuje postać fałszywej weryfikacji CAPTCHA, komunikatu o błędzie lub instrukcji naprawy problemu na stronie internetowej. Użytkownik kopiuje polecenie do okna Windows Run, terminala albo PowerShell, inicjując wykonanie kodu w kontekście własnego konta. Technika rozwija się wraz z doskonaleniem mechanizmów detekcji, a jej skuteczność zwiększa łączenie znanych metod obfuskacji kodu, ukrywania payloadów i utrzymywania dostępu.  

Przykładem takiej adaptacji jest kampania opisana przez Microsoft Threat Intelligence. Złośliwe skrypty były pobierane do pamięci podręcznej przeglądarki, gdzie maskowano je jako pliki PNG. Dopiero po nakłonieniu użytkownika do wykonania polecenia uruchamiany był mechanizm wyszukujący odpowiedni plik w katalogu profilu przeglądarki. Skrypt był identyfikowany na podstawie rozmiaru, kopiowany do katalogu tymczasowego z rozszerzeniem .vbs, a następnie uruchamiany przez wscript.exe. Kluczowa jest tu odejście od standardowego podejścia stosowanego w ClickFixach. Właściwy payload nie był zawarty w komendzie wklejanej przez użytkownika ani nie był pobierany z internetu, co zwykle zwraca uwagę analityków. Taka modyfikacja uniemożliwia analizę na podstawie samej zawartości schowka lub elementów komendy.  

Kolejne etapy wykorzystywały WMI do zbierania informacji o hoście, PowerShella do pobierania następnych komponentów, wstrzykiwanie kodu do procesów i działania realizowane w pamięci bez zapisu plików na dysku. Łańcuch prowadził do kradzieży danych uwierzytelniających z przeglądarek i persystencji za pomocą scheduled taska uruchamiającego payload w Pythonie.  Możliwe, że już wdrożone reguły wykryłyby infekcję na dalszym etapie, lecz jak pokazuje ten przypadek, może się to wydarzyć zbyt późno by uniknąć poważnych konsekwencji.  

Inny scenariusz ClickFix, tym razem wyróżniający się nie metodą dostarczenia, a ostatecznym celem atakującego przedstawia analiza Stoïk CERT. Analitycy opisali przebieg dziewiętnastodniowego włamania zakończonego atakiem ransomware z rodziny Akira. Atakujący uzyskali initial access dzięki wizycie pracownika na przejętej stronie obozu sportowego, na której napotkał ClickFixa. Wklejone polecenie PowerShell pobierało kolejny etap infekcji. W ciągu kilkunastu sekund utworzono ukryte zadanie harmonogramu, powtarzające wykonanie co 40 minut przez, co ciekawe, aż dziesięć lat. Dwa dni później atakujący przeprowadził rekonesans za pomocą zapytań LDAP i niedługo później posługiwał się już uprawnieniami administratora domeny. Umożliwiło to przejęcie kontroli nad hypervisorem i, dzięki zapewnieniu sobie odpowiednich mechanizów przetrwania w czasie odłączenia systemów od sieci na kilkanaście dni, po przywróceniu połączenia usunięcie kopii zapasowych, eksfiltrację 336 GB danych i zaszyfrowanie 485 224 plików. Szyfrowanie przeprowadzono z maszyny wirtualnej przygotowanej przez atakującego, po podłączeniu do niej dysków systemów produkcyjnych. Ze względu na to, że maszyny były wyłączone, systemy bezpieczeństwa nie miały szansy wykryć i zareagować.

Patrząc szerzej

Oba przypadki ilustrują różnorodność skutków ClickFix. Kampanie mogą służyć do instalowania infostealerów lub RATów, a także stanowić początek operacji ransomware. Konsekwencje mogą okazać się poważniejsze niż podpowiadałoby wcześniejsze doświadczenie. Z techniki korzystają zróżnciowani aktorzy, a gotowe zestawy ClickFix obniżają próg wejścia dla atakujących i sprawiają, że podobne przynęty mogą wiązać się z zupełnie różnymi kampaniami.   

Technika nieustannie ewoluuje uodparniając się na proste detekcje, które powinny się rozwijać razem ze zmianami w modus operandi atakujących. Ewolucja ClickFix wskazuje, że reguły oparte wyłącznie na znanych ciągach poleceń szybko tracą skuteczność. Większą wartość ma analiza behawioralna oraz powiązań między etapami, od manipulacji użytkownikiem po działania na danych i infrastrukturze. 

Więcej informacji:  
https://x.com/MsftSecIntel/status/2106197481960706155
https://labs.stoik.io/from-one-paste-to-domain-admin-an-akira-intrusion-in-19-days-2/ 

Mobile

Midnight Mimosa. Infekcja przed pierwszym uruchomieniem

• Na części niedrogich urządzeń z Androidem komponent Midnight Mimosa znajdował się w oprogramowaniu fabrycznym jeszcze przed sprzedażą. Działa z uprawnieniami systemowymi i może instalować kolejne aplikacje bez udziału właściciela.
• Kampania została zaprojektowana przede wszystkim do zarabiania na oszustwach reklamowych. Jeden z dostarczanych modułów może ponadto przygotować telefon do przekazywania ruchu sieciowego przez łącze właściciela. 
• Usunięcie doinstalowanej aplikacji nie rozwiązuje problemu, jeśli złośliwy komponent nadal znajduje się w systemie. Może ponownie dostarczyć kolejne moduły.

Nowy telefon może zawierać złośliwy kod, zanim właściciel zainstaluje na nim pierwszą aplikację. Właśnie taki punkt wyjścia ma kampania Midnight Mimosa, zidentyfikowana przez Bitdefender na części niedrogich, wielomarkowych urządzeń z Androidem opartych na platformach MediaTek. Jej główny komponent jest częścią oprogramowania, z którym telefon trafia do sprzedaży. Podszywa się pod element systemu i pozostaje niewidoczny dla osoby korzystającej z urządzenia.  

W ciągu około dwóch lat obserwacji zagrożenie odnotowano na tysiącach urządzeń w ponad 150 krajach, także w Polsce. Wśród zidentyfikowanych urządzeń były podróbki posługujące się nazwami modeli Samsunga i Apple oraz telefony oznaczone jako Doogee S200 X i Cubot KINGKONG X.  

Za dalsze działanie kampanii odpowiada uprzywilejowana aplikacja systemowa, określana przez Bitdefender jako Enabler. Jedną z jej nazw jest com.android.system.lite, ale ten sam rdzeń występuje również pod innymi nazwami przypominającymi pakiety Androida. Dzięki uprawnieniom systemowym komponent może bez komunikatów instalować i usuwać aplikacje oraz przyznawać im uprawnienia.  

Możliwości  Enablera nie kończą się na instalowaniu gotowych aplikacji. W analizowanej próbce biblioteka libeasy.so odszyfrowuje ukryty komponent, który ładuje dodatkowe moduły. Operatorzy mogą w ten sposób zmieniać funkcje działające na telefonie. Enabler żąda również uprawnienia do SMS-ów oraz dostęp do powiadomień i usług ułatwień dostępu; dwa ostatnie potrafi samodzielnie włączać. W opublikowanej analizie nie wykazano jednak wykorzystania ich do kradzieży wiadomości lub przejmowania aplikacji bankowych. 

Podczas instalowania kolejnych aplikacji wtyczki czasowo wyłączają Sklep Google Play (com.android.vending) tuż przed instalacją i włączają go ponownie po jej zakończeniu, utrudniając w tym czasie działanie skanera Play Protect. W części próbek rodziny Enabler stwierdzono też fałszywą informację o źródle instalacji – system wskazywał Google Play, choć aplikacja nie nosiła znacznika potwierdzającego dystrybucję przez sklep. Sam zapis o źródle instalacji może więc w tym przypadku wprowadzać w błąd. 

Dostarczane aplikacje mają nazwy i wygląd typowych narzędzi, takich jak programy pogodowe, blokady aplikacji czy narzędzia do rozpoznawania tekstu. Korzystają z legalnych narzędzi do obsługi reklam, ale dołożony kod wyświetla reklamy także wtedy, gdy użytkownik nie korzysta z aplikacji. Potrafi sam wywołać kliknięcie w reklamę, bez dotknięcia ekranu przez właściciela telefonu. Może też wysłać do serwera kampanii raport o rzekomej aktywności związanej z reklamą, nawet jeśli nie doszło do żadnego kliknięcia. Enabler odpowiada za dostarczenie aplikacji, natomiast zdarzenia reklamowe są przypisywane aplikacjom, w których umieszczono reklamy. 

Inną funkcję pełni dostarczany przez Enablera moduł com.mobile.applock.en. Jego kod pozwala zarejestrować telefon jako węzeł, odebrać zdalnie wskazane adresy i porty, a następnie zestawić połączenia TCP i przekazywać między nimi dane w obu kierunkach. Tak działa węzeł sieci residential proxy. Właściciel mógłby wówczas nieświadomie udostępniać swoje łącze jako punkt pośredniczący dla cudzego ruchu. W opisanym teście jednak nie doszło do przekazania ruchu. 

Powiązane aplikacje docierały do użytkowników również przez Google Play. Bitdefender zidentyfikował 13 opublikowanych tam aplikacji zawierających kod z tej samej rodziny oszustw reklamowych i korzystających ze wspólnej infrastruktury. Wersje pobierane ze sklepu nie miały jednak uprawnień systemowych Enablera. Wykrycie jednej z tych aplikacji nie dowodzi zatem, że złośliwy komponent jest obecny także w oprogramowaniu fabrycznym telefonu.  

Jeżeli jednak potwierdzi się obecność Enablera w oprogramowaniu fabrycznym, usunięcie widocznej aplikacji usuwa tylko część kampanii. Uprzywilejowany komponent pozostaje na urządzeniu i może ponownie pobrać lub zainstalować moduły. Ocena incydentu musi wówczas objąć oprogramowanie systemowe i możliwość zastąpienia go zaufaną wersją.

Patrząc szerzej

Midnight Mimosa wpisuje się w model, w którym zainfekowane urządzenie konsumenckie może przynosić przychód długo po sprzedaży, ale niestety nie dla użytkownika. W kampanii BADBOX 2.0 preinstalowane backdoory na tanich urządzeniach z Androidem wykorzystywano do oszustw reklamowych oraz do sprzedaży dostępu do sieci proxy rezydencjalnych. Nie ma podstaw, by łączyć operatorów obu kampanii, ale w obu przypadkach możliwość późniejszego zarabiania na urządzeniu pojawiła się jeszcze przed jego sprzedażą, gdy dodano do niego złośliwy kod. W przypadku Midnight Mimosa złośliwy komponent znaleziono w telefonach sprzedawanych pod różnymi nazwami, ale nadal nie wiadomo, na którym etapie dodano go do oprogramowania fabrycznego.

Więcej informacji:
https://www.bitdefender.com/en-us/blog/labs/midnight-mimosa-malware