NIK C2: новая платформа управления с ИИ использует API OpenAI для атак

NIK C2 использует API OpenAI для проведения атак

Новая платформа управления командно-контрольными функциями (C2) NIK C2 интегрирует искусственный интеллект (ИИ) для проведения атак. Исследователи Cisco Talos обнаружили, что NIK C2 использует API OpenAI для анализа собранных данных. Злоумышленники могут использовать эту платформу для кражи учетных данных, перехвата нажатий клавиш и развертывания программ-вымогателей. NIK C2 сокращает время между сбором данных и эксплуатацией, что затрудняет обнаружение традиционными методами.

Имплант NIK C2 работает на Go и использует двойной канал связи

Имплант NIK C2 представляет собой 64-битный инструмент удаленного доступа для Windows, написанный на языке Go. Он обеспечивает постоянный контроль над скомпрометированными хостами с помощью отказоустойчивой архитектуры C2 с двумя каналами. Связь осуществляется через защищенные TLS WebSockets на порту 443, с резервным HTTP-каналом, который опрашивается каждые 250 миллисекунд. Весь трафик шифруется с помощью AES-256-GCM. Для устойчивости к попыткам блокировки имплант маршрутизирует трафик через три приоритетных уровня C2: обновляемые URL-адреса, встроенный зашифрованный список серверов и резервный адрес. Имплант включает функции для кражи данных, бокового перемещения и уклонения от обнаружения, такие как дамп учетных данных, перехват RDP-сессий, процессное опустошение и модуль программы-вымогателя с блокировкой экрана.

ИИ-модуль NIK C2 отправляет запросы через OpenAI

Ключевой особенностью NIK C2 является встроенный клиент API OpenAI. Команда ai_generate позволяет операторам отправлять произвольные запросы непосредственно через скомпрометированный хост. Имплант управляет ключами API, формирует запросы и обрабатывает ответы локально, передавая результаты генеративного ИИ обратно на C2-сервер. Если ключ API не указан, имплант использует ключ, хранящийся в переменных окружения жертвы. Это означает, что расходы на использование API OpenAI и логирование запросов будут связаны с учетной записью жертвы. По умолчанию используется модель GPT-4, но операторы могут выбрать любую другую модель OpenAI. Запросы формируются в формате JSON и отправляются на конечную точку OpenAI Chat Completions. Обработанные ответы ИИ передаются оператору.

NIK C2 нацелен на пользователей Windows с возможностью кражи данных и вымогательства

NIK C2 нацелен на пользователей операционной системы Windows. Имплант способен красть различные типы данных, включая учетные данные браузеров, сохраненные пароли, файлы cookie, данные криптовалютных кошельков и токены Discord. Он также может извлекать сохраненные пароли Wi-Fi. Функции наблюдения включают кейлоггер, захват экрана и аудио, а также мониторинг буфера обмена. Для бокового перемещения в сети используются прокси SOCKS5/HTTP и туннелирование TCP. Кроме того, имплант может выполнять операции с RDP и развертывать программу-вымогатель, блокирующую экран, требуя выкуп в биткоинах или USDT.

Обновление имплантов и защита учетных данных OpenAI необходимы

Исследователи Cisco Talos обнаружили, что все наблюдаемые образцы имплантов NIK C2 были скомпилированы с использованием Go 1.23.4, выпущенной в декабре 2024 года. Это указывает на то, что вредоносное ПО активно разрабатывается и используется. Для защиты от подобных угроз рекомендуется регулярно обновлять программное обеспечение и операционные системы. Особое внимание следует уделить защите учетных данных, используемых для доступа к сервисам OpenAI. Необходимо избегать хранения ключей API в переменных окружения на рабочих станциях и использовать выделенные учетные записи для таких сервисов. Также важно использовать надежные решения для обнаружения угроз, которые могут выявлять аномальное поведение и сетевую активность.