यह समूह अब सिर्फ़ फ़िशिंग ईमेल लिखने के लिए ही AI का इस्तेमाल नहीं कर रहा है। यह चैटजीपीटी, गूगल जेमिनी और इमेज जनरेटर Ideogram AI की मदद से नकली वेबसाइटें बनाने, कस्टम मैलवेयर विकसित करने और सिस्टम हैक होने के बाद के टूल्स (पोस्ट-कम्प्रोमाइज़ टूलिंग) तैयार करने का काम भी कर रहा है। यह इस बात का एक बड़ा सबूत है कि AI अब साइबर ख़तरों को किस कदर बढ़ा रहा है ।

स्पीयर-फ़िशिंग से लेकर मोबाइल जासूसी तक: पाँच अभियान

WithSecure ने शेयर किए गए इंफ़्रास्ट्रक्चर, मैलवेयर और ऑपरेशनल तरीकों का पता लगाकर ग्रे-वाइब के पाँच अलग-अलग अभियानों को आपस में जोड़ा। हर अभियान एक ख़ास कमज़ोरी को निशाना बनाता है—ईमेल इनबॉक्स से लेकर आपके स्मार्टफ़ोन तक।

• PhantomMail: यह स्पीयर-फ़िशिंग अभियान यूक्रेनी सरकार और ऊर्जा एजेंसियों का रूप धारण करता है। पीड़ितों को Google Drive या 4sync पर होस्ट किए गए ZIP या RAR आर्काइव के लिंक वाले ईमेल मिलते हैं। फ़ाइल खोलने पर PhantomRelay इंफ़ेक्शन चेन शुरू हो जाती है, जबकि एक नकली सरकारी PDF या एरर मैसेज इस हमले को छिपाए रखता है ।
• PhantomClick: फ़िशिंग की इस उन्नत तकनीक में ClickFix तरीके का इस्तेमाल होता है। पीड़ितों को एक भ्रामक PDF से लिंक पर क्लिक करने के बाद नकली CAPTCHA प्रॉम्प्ट या Cloudflare सुरक्षा जाँच के ज़रिए ख़ुद ही नुकसानदेह PowerShell कमांड चलाने के लिए उकसाया जाता है। संदेह से बचने के लिए, यह लिंक कभी-कभी असली Zoom मीटिंग से भी जुड़ सकता है ।
• PrincessClub: यह ऑपरेशन मोबाइल निगरानी के लिए आम लोगों को निशाना बनाता है। ऑपरेटर टेलीग्राम पर जान-पहचान वालों का रूप धारण करते हैं और पीड़ितों को नकली एडल्ट-कंटेंट साइटों पर ले जाते हैं, जो FallSpy एंड्रॉइड स्पाइवेयर इंस्टॉल करती हैं ।
• DroneLink: ख़ास तौर पर यूक्रेनी रक्षा संस्थाओं के ख़िलाफ़ जासूसी के लिए तैयार किया गया अभियान, जो नेटवर्क में सेंध लगाने के लिए ड्रोन और सैन्य-थीम वाले लालच का इस्तेमाल करता है ।
• Nebo: अगस्त 2025 से समानांतर रूप से चल रहा यह अभियान भी FallSpy स्पाइवेयर वितरित करता है, लेकिन इसके लिए कस्टम लोडर का एक अलग सेट इस्तेमाल करता है ।

इंसानों और मशीनों, दोनों से बना एक टूलकिट

ग्रे-वाइब की प्रभावशीलता की जड़ एक कस्टम-मेड मैलवेयर सूट है, जिसके कुछ हिस्सों को WithSecure ने मध्यम विश्वास के साथ LLM (लार्ज लैंग्वेज मॉडल) जैसे चैटजीपीटी और जेमिनी की महत्वपूर्ण सहायता से बनाया हुआ आंका है। AI-समर्थित इस विकास प्रक्रिया में पेश आई डिज़ाइन की खामियाँ एक घातक परिचालन भूल साबित हुईं, जिसने शोधकर्ताओं को महीनों तक समूह की गतिविधि पर सीधी नज़र रखने का मौका दे दिया ।

• PhantomRelay: एक विंडोज़ रिमोट एक्सेस ट्रोजन (RAT) और प्राथमिक शुरुआती-पहुँच पेलोड। यह PyInstaller या JavaScript-आधारित लोडर के ज़रिए डिलीवर किया जाता है ।
• LegionRelay: एक ज़्यादा बहुमुखी दूसरे चरण का टूल है। यह पावरशेल-आधारित RAT एक REST API के ज़रिए कमांड-एंड-कंट्रोल (C2) सर्वरों से संपर्क करता है। इसकी क्षमताओं में फ़ाइलों की गणना और चोरी, स्क्रीनशॉट कैप्चर करना, ब्राउज़र, टेलीग्राम और व्हाट्सएप से डेटा चुराना, और RDP एक्सेस शामिल है। शोधकर्ताओं ने LegionRelay में कुछ अहम कोडिंग खामियाँ पहचानीं, जो उनके अनुसार LLM-सहायता प्राप्त विकास का सीधा नतीजा हैं ।
• FallSpy: PrincessClub और Nebo अभियानों में अगस्त 2025 से इस्तेमाल होने वाला एक एंड्रॉइड निगरानी उपकरण है। यह संपर्कों, कॉल लॉग, इंस्टॉल किए गए ऐप्स, सिम विवरण, डिवाइस की जानकारी, वाई-फ़ाई SSID, लोकेशन, पब्लिक IP और मीडिया फ़ाइलों को चुराता है ।
• बदलते ऑब्फ़स्केटर्स: पकड़ से बचने के लिए समूह ने समय के साथ कई कस्टम लोडर और ऑब्फ़स्केटर्स का इस्तेमाल किया। इनमें LOOKVALPS (पावरशेल), LOOKVALJS (जावास्क्रिप्ट), DAYLIGHT (पावरशेल, अक्टूबर 2025 से LOOKVALPS की जगह लेने वाला), और TEASOUP (जावास्क्रिप्ट, मार्च 2026 से LOOKVALJS की जगह लेने वाला) शामिल हैं ।

राज्य प्रायोजित, साइबर अपराधी, या फिर दोनों? एट्रिब्यूशन की पहेली

हालाँकि ग्रे-वाइब की गतिविधियाँ स्पष्ट रूप से रूसी राज्य के हितों की पूर्ति करती हैं, लेकिन समूह की पहचान कोई सीधा राज्य-प्रायोजित जुड़ाव नहीं है। WithSecure का विश्लेषण एक ज़्यादा जटिल और मिश्रित संबंध की ओर इशारा करता है।

शोधकर्ताओं को इस बात पर उच्च विश्वास है कि ग्रे-वाइब के ऑपरेशन, यूक्रेन संघर्ष में रूसी खुफिया जानकारी जुटाने के उद्देश्यों के अनुरूप हैं। यह आकलन पीड़ितों की प्रकृति (सैन्य, सरकार और महत्वपूर्ण बुनियादी ढाँचे के लक्ष्य) और देखी गई कार्रवाइयों पर आधारित है । वे इस बात पर भी समान रूप से आश्वस्त हैं कि ऑपरेटर रूसी भाषी हैं और मॉस्को समय क्षेत्र (UTC+3) में काम करते हैं, जो कि कोड की टिप्पणियों, एडमिन पैनल की भाषा सेटिंग और उनके काम करने के घंटों के विश्लेषण पर आधारित है ।

हालाँकि, इस समूह के पूरी तरह से राष्ट्र-राज्य APT (एडवांस्ड परसिस्टेंट थ्रेट) होने को लेकर कम विश्वास है। कई सुराग साइबर अपराध की दुनिया से मज़बूत संबंधों का संकेत देते हैं। PhantomRelay के वेरिएंट असंबंधित साइबर अपराध क्लस्टरों में दिखाई दिए हैं, और समूह ने एक अनोखे ISO बिल्डर का इस्तेमाल किया जो संभावित रूप से कुख्यात TrickBot इकोसिस्टम से जुड़ा हो सकता है। अन्य संकेतकों में ऑपरेटरों द्वारा VirusTotal पर विकास के नमूने अपलोड करना, इंटरनेट स्लैंग का नामकरण (जैसे "letsrollboyos" और "cuteuwu") और कुछ LegionRelay-संक्रमित मशीनों पर XMRig क्रिप्टोकरेंसी माइनर तैनात करना शामिल है ।

WithSecure ने मध्यम विश्वास के साथ आकलन किया है कि ग्रे-वाइब के बड़े आपराधिक अंडरग्राउंड से संबंध हैं, लेकिन इस रिश्ते की सटीक प्रकृति—चाहे वे समाहित राज्य हैकर हों, अनुबंधित सहयोगी हों, या कोई हाइब्रिड टीम हो—अभी भी अस्पष्ट है। हालाँकि, यह आकलन इस बात पर ज़ोर देता है कि रूसी खुफिया एजेंसियों द्वारा राज्य-संरेखित काम के लिए साइबर अपराध समूहों को शामिल करने की ऐतिहासिक मिसालें हैं । कुल मिलाकर, ग्रे-वाइब एक निम्न-से-मध्यम स्तर का परिष्कृत समूह प्रतीत होता है, जो AI के आक्रामक हथियारीकरण के ज़रिए अपनी क्षमता से कहीं अधिक घातक प्रहार करने में सक्षम है ।

यह समूह अब सिर्फ़ फ़िशिंग ईमेल लिखने के लिए ही AI का इस्तेमाल नहीं कर रहा है। यह चैटजीपीटी, गूगल जेमिनी और इमेज जनरेटर Ideogram AI की मदद से नकली वेबसाइटें बनाने, कस्टम मैलवेयर विकसित करने और सिस्टम हैक होने के बाद के टूल्स (पोस्ट-कम्प्रोमाइज़ टूलिंग) तैयार करने का काम भी कर रहा है। यह इस बात का एक बड़ा सबूत है कि AI अब साइबर ख़तरों को किस कदर बढ़ा रहा है ।

स्पीयर-फ़िशिंग से लेकर मोबाइल जासूसी तक: पाँच अभियान

WithSecure ने शेयर किए गए इंफ़्रास्ट्रक्चर, मैलवेयर और ऑपरेशनल तरीकों का पता लगाकर ग्रे-वाइब के पाँच अलग-अलग अभियानों को आपस में जोड़ा। हर अभियान एक ख़ास कमज़ोरी को निशाना बनाता है—ईमेल इनबॉक्स से लेकर आपके स्मार्टफ़ोन तक।

• PhantomMail: यह स्पीयर-फ़िशिंग अभियान यूक्रेनी सरकार और ऊर्जा एजेंसियों का रूप धारण करता है। पीड़ितों को Google Drive या 4sync पर होस्ट किए गए ZIP या RAR आर्काइव के लिंक वाले ईमेल मिलते हैं। फ़ाइल खोलने पर PhantomRelay इंफ़ेक्शन चेन शुरू हो जाती है, जबकि एक नकली सरकारी PDF या एरर मैसेज इस हमले को छिपाए रखता है ।
• PhantomClick: फ़िशिंग की इस उन्नत तकनीक में ClickFix तरीके का इस्तेमाल होता है। पीड़ितों को एक भ्रामक PDF से लिंक पर क्लिक करने के बाद नकली CAPTCHA प्रॉम्प्ट या Cloudflare सुरक्षा जाँच के ज़रिए ख़ुद ही नुकसानदेह PowerShell कमांड चलाने के लिए उकसाया जाता है। संदेह से बचने के लिए, यह लिंक कभी-कभी असली Zoom मीटिंग से भी जुड़ सकता है ।
• PrincessClub: यह ऑपरेशन मोबाइल निगरानी के लिए आम लोगों को निशाना बनाता है। ऑपरेटर टेलीग्राम पर जान-पहचान वालों का रूप धारण करते हैं और पीड़ितों को नकली एडल्ट-कंटेंट साइटों पर ले जाते हैं, जो FallSpy एंड्रॉइड स्पाइवेयर इंस्टॉल करती हैं ।
• DroneLink: ख़ास तौर पर यूक्रेनी रक्षा संस्थाओं के ख़िलाफ़ जासूसी के लिए तैयार किया गया अभियान, जो नेटवर्क में सेंध लगाने के लिए ड्रोन और सैन्य-थीम वाले लालच का इस्तेमाल करता है ।
• Nebo: अगस्त 2025 से समानांतर रूप से चल रहा यह अभियान भी FallSpy स्पाइवेयर वितरित करता है, लेकिन इसके लिए कस्टम लोडर का एक अलग सेट इस्तेमाल करता है ।

इंसानों और मशीनों, दोनों से बना एक टूलकिट

ग्रे-वाइब की प्रभावशीलता की जड़ एक कस्टम-मेड मैलवेयर सूट है, जिसके कुछ हिस्सों को WithSecure ने मध्यम विश्वास के साथ LLM (लार्ज लैंग्वेज मॉडल) जैसे चैटजीपीटी और जेमिनी की महत्वपूर्ण सहायता से बनाया हुआ आंका है। AI-समर्थित इस विकास प्रक्रिया में पेश आई डिज़ाइन की खामियाँ एक घातक परिचालन भूल साबित हुईं, जिसने शोधकर्ताओं को महीनों तक समूह की गतिविधि पर सीधी नज़र रखने का मौका दे दिया ।

• PhantomRelay: एक विंडोज़ रिमोट एक्सेस ट्रोजन (RAT) और प्राथमिक शुरुआती-पहुँच पेलोड। यह PyInstaller या JavaScript-आधारित लोडर के ज़रिए डिलीवर किया जाता है ।
• LegionRelay: एक ज़्यादा बहुमुखी दूसरे चरण का टूल है। यह पावरशेल-आधारित RAT एक REST API के ज़रिए कमांड-एंड-कंट्रोल (C2) सर्वरों से संपर्क करता है। इसकी क्षमताओं में फ़ाइलों की गणना और चोरी, स्क्रीनशॉट कैप्चर करना, ब्राउज़र, टेलीग्राम और व्हाट्सएप से डेटा चुराना, और RDP एक्सेस शामिल है। शोधकर्ताओं ने LegionRelay में कुछ अहम कोडिंग खामियाँ पहचानीं, जो उनके अनुसार LLM-सहायता प्राप्त विकास का सीधा नतीजा हैं ।
• FallSpy: PrincessClub और Nebo अभियानों में अगस्त 2025 से इस्तेमाल होने वाला एक एंड्रॉइड निगरानी उपकरण है। यह संपर्कों, कॉल लॉग, इंस्टॉल किए गए ऐप्स, सिम विवरण, डिवाइस की जानकारी, वाई-फ़ाई SSID, लोकेशन, पब्लिक IP और मीडिया फ़ाइलों को चुराता है ।
• बदलते ऑब्फ़स्केटर्स: पकड़ से बचने के लिए समूह ने समय के साथ कई कस्टम लोडर और ऑब्फ़स्केटर्स का इस्तेमाल किया। इनमें LOOKVALPS (पावरशेल), LOOKVALJS (जावास्क्रिप्ट), DAYLIGHT (पावरशेल, अक्टूबर 2025 से LOOKVALPS की जगह लेने वाला), और TEASOUP (जावास्क्रिप्ट, मार्च 2026 से LOOKVALJS की जगह लेने वाला) शामिल हैं ।

राज्य प्रायोजित, साइबर अपराधी, या फिर दोनों? एट्रिब्यूशन की पहेली

हालाँकि ग्रे-वाइब की गतिविधियाँ स्पष्ट रूप से रूसी राज्य के हितों की पूर्ति करती हैं, लेकिन समूह की पहचान कोई सीधा राज्य-प्रायोजित जुड़ाव नहीं है। WithSecure का विश्लेषण एक ज़्यादा जटिल और मिश्रित संबंध की ओर इशारा करता है।

शोधकर्ताओं को इस बात पर उच्च विश्वास है कि ग्रे-वाइब के ऑपरेशन, यूक्रेन संघर्ष में रूसी खुफिया जानकारी जुटाने के उद्देश्यों के अनुरूप हैं। यह आकलन पीड़ितों की प्रकृति (सैन्य, सरकार और महत्वपूर्ण बुनियादी ढाँचे के लक्ष्य) और देखी गई कार्रवाइयों पर आधारित है । वे इस बात पर भी समान रूप से आश्वस्त हैं कि ऑपरेटर रूसी भाषी हैं और मॉस्को समय क्षेत्र (UTC+3) में काम करते हैं, जो कि कोड की टिप्पणियों, एडमिन पैनल की भाषा सेटिंग और उनके काम करने के घंटों के विश्लेषण पर आधारित है ।

हालाँकि, इस समूह के पूरी तरह से राष्ट्र-राज्य APT (एडवांस्ड परसिस्टेंट थ्रेट) होने को लेकर कम विश्वास है। कई सुराग साइबर अपराध की दुनिया से मज़बूत संबंधों का संकेत देते हैं। PhantomRelay के वेरिएंट असंबंधित साइबर अपराध क्लस्टरों में दिखाई दिए हैं, और समूह ने एक अनोखे ISO बिल्डर का इस्तेमाल किया जो संभावित रूप से कुख्यात TrickBot इकोसिस्टम से जुड़ा हो सकता है। अन्य संकेतकों में ऑपरेटरों द्वारा VirusTotal पर विकास के नमूने अपलोड करना, इंटरनेट स्लैंग का नामकरण (जैसे "letsrollboyos" और "cuteuwu") और कुछ LegionRelay-संक्रमित मशीनों पर XMRig क्रिप्टोकरेंसी माइनर तैनात करना शामिल है ।

WithSecure ने मध्यम विश्वास के साथ आकलन किया है कि ग्रे-वाइब के बड़े आपराधिक अंडरग्राउंड से संबंध हैं, लेकिन इस रिश्ते की सटीक प्रकृति—चाहे वे समाहित राज्य हैकर हों, अनुबंधित सहयोगी हों, या कोई हाइब्रिड टीम हो—अभी भी अस्पष्ट है। हालाँकि, यह आकलन इस बात पर ज़ोर देता है कि रूसी खुफिया एजेंसियों द्वारा राज्य-संरेखित काम के लिए साइबर अपराध समूहों को शामिल करने की ऐतिहासिक मिसालें हैं । कुल मिलाकर, ग्रे-वाइब एक निम्न-से-मध्यम स्तर का परिष्कृत समूह प्रतीत होता है, जो AI के आक्रामक हथियारीकरण के ज़रिए अपनी क्षमता से कहीं अधिक घातक प्रहार करने में सक्षम है ।