NIK C2 дарит атакующим чужие ИИ-токены

Cпециалисты Cisco Talos выявили вредоносный командно-контрольный фреймворк с поддержкой ИИ, получивший название NIK C2: он использует API-ключи OpenAI самих жертв для выполнения запросов к нейросетям. В результате расходы на эксплуатацию сервиса ложатся на плечи пострадавших.

Имплант, написанный на языке Go, предоставляет злоумышленникам удалённый доступ, а также возможность кражи учётных данных, перехвата нажатий клавиш (кейлоггинг) и ведения слежки. Кроме того, встроенный клиент OpenAI позволяет отправлять украденную информацию для ИИ-анализа прямо в рамках скомпрометированной сессии.

Функционал бота встроен непосредственно в имплант, что избавляет операторов от необходимости обрабатывать собранные сведения отдельно. По словам экспертов Talos, атакующие могут передавать через панель управления промпт и выбирать LLM. Система биллинга OpenAI списывает средства со счёта, а в логах доступа в качестве инициатора запросов фигурирует ключ жертвы — это не оставляет никаких следов, указывающих на причастность постороннего.

Помимо функций, связанных с ИИ, вредонос поддерживает более 50 команд: от кражи учётных данных, информации из браузеров, сведений о криптовалютных кошельках и паролей от Wi-Fi до перехвата нажатий клавиш, создания снимков экрана и обеспечения удалённого доступа. Как сообщают в Talos, платформа позволяет перемещаться внутри сети и использовать различные методы для обхода средств защиты. В её состав также входит модуль-вымогатель, блокирующий экран и отображающий требования о выкупе в биткоинах или стейблкоинах Tether.

Компания зафиксировала как минимум три версии импланта и установила, что его инфраструктура продолжала функционировать на момент проведения исследования: то есть речь идёт о полноценной рабочей платформе, а не просто концептуальном прототипе. По мнению аналитиков, объединяя сбор данных и их эксплуатацию в единый непрерывный процесс, атакующие оставляют защитникам всё меньше времени для обнаружения угрозы.

Усам Оздемиров