Das iscas por e-mail à espionagem móvel: as cinco campanhas

A WithSecure conectou cinco campanhas distintas ao GreyVibe ao rastrear infraestrutura, malware e padrões operacionais em comum. Cada campanha explora uma vulnerabilidade específica, da caixa de entrada ao smartphone.

• PhantomMail: Esta campanha de spear-phishing se passa por agências do governo e do setor de energia ucranianos. As vítimas recebem e-mails com links para arquivos ZIP ou RAR hospedados no Google Drive ou no 4sync. Abrir o arquivo aciona a cadeia de infecção do PhantomRelay enquanto uma isca — como um PDF falso ou uma mensagem de erro — disfarça o ataque .
• PhantomClick: Uma evolução do manual de phishing, esta campanha usa uma técnica chamada ClickFix. As vítimas são induzidas a executar comandos maliciosos do PowerShell por conta própria, por meio de avisos falsos de CAPTCHA ou verificações de segurança do Cloudflare após clicarem em um link de um PDF enganoso, que pode levar a uma reunião real do Zoom para não levantar suspeitas .
• PrincessClub: Esta operação mira indivíduos para vigilância móvel. Os operadores se passam por contatos no Telegram e direcionam as vítimas para sites falsos de conteúdo adulto que entregam o spyware para Android FallSpy .
• DroneLink: Uma campanha especificamente voltada para a espionagem de entidades de defesa ucranianas, usando iscas com temas militares e de drones para comprometer redes .
• Nebo: Em execução simultânea desde agosto de 2025, esta campanha também distribui o spyware FallSpy, mas usa um conjunto diferente de carregadores customizados .

Um arsenal forjado por humanos e máquinas

A eficácia do GreyVibe vem de um conjunto de malwares feito sob medida, partes do qual a WithSecure avalia, com confiança moderada, terem sido construídas com assistência significativa de LLMs como ChatGPT e Gemini. As falhas de design introduzidas por esse desenvolvimento assistido por IA acabaram sendo um erro operacional fatal, concedendo aos pesquisadores meses de visibilidade sobre a atividade do grupo .

• PhantomRelay: Um Trojan de Acesso Remoto (RAT) para Windows e a carga de acesso inicial primária, entregue por meio de carregadores baseados em PyInstaller ou JavaScript .
• LegionRelay: Uma ferramenta de segundo estágio mais versátil, este RAT baseado em PowerShell se comunica com servidores de comando e controle (C2) por meio de uma API REST. Suas capacidades incluem enumeração e exfiltração de arquivos, captura de tela, roubo de dados de navegadores, Telegram e WhatsApp, e acesso via RDP. Os pesquisadores identificaram falhas de programação cruciais no LegionRelay que julgam ser resultado direto do desenvolvimento assistido por LLMs .
• FallSpy: Uma ferramenta de vigilância para Android usada nas campanhas PrincessClub e Nebo desde agosto de 2025. Ela coleta contatos, registros de chamadas, aplicativos instalados, detalhes do SIM, informações do dispositivo, SSID do Wi-Fi, localização, IP público e arquivos de mídia .
• Ofuscadores rotativos: O grupo alternava entre carregadores e ofuscadores customizados para evitar a detecção, incluindo LOOKVALPS (PowerShell), LOOKVALJS (JavaScript), DAYLIGHT (PowerShell, substituindo o LOOKVALPS a partir de outubro de 2025) e TEASOUP (JavaScript, substituindo o LOOKVALJS a partir de março de 2026) .

Ator estatal, cibercriminosos ou um híbrido? O enigma da atribuição

Embora as atividades do GreyVibe sirvam claramente aos interesses do Estado russo, a identidade do grupo não é uma simples atribuição estatal. A análise da WithSecure aponta para uma afiliação mais complexa e híbrida.

Os pesquisadores têm alta confiança de que as operações do GreyVibe estão alinhadas com os objetivos de coleta de inteligência da Rússia no conflito com a Ucrânia, com base na análise das vítimas (alvos militares, governamentais e de infraestrutura crítica) e nas ações observadas nos objetivos . Eles estão igualmente confiantes de que os operadores falam russo e trabalham no fuso horário de Moscou (UTC+3), com base em comentários no código, configurações de idioma do painel de administração e análise de seus horários de trabalho .

No entanto, há menos confiança em relação ao grupo ser um APT puro de estado-nação. Várias pistas sugerem fortes laços com o ecossistema do cibercrime. Variantes do PhantomRelay apareceram em grupos de cibercrime não relacionados, e o grupo usou um criador de ISOs único, potencialmente ligado ao infame ecossistema TrickBot. Outros indicadores incluem operadores enviando amostras de desenvolvimento ao VirusTotal, usando gírias da internet para nomear convenções (como "letsrollboyos" e "cuteuwu") e implantando um minerador de criptomoeda XMRig em algumas máquinas infectadas pelo LegionRelay .

A WithSecure avalia com confiança moderada que o GreyVibe tem conexões com o submundo criminal, mas a natureza exata do relacionamento — seja de hackers estatais absorvidos, afiliados contratados ou uma equipe híbrida — permanece incerta. A avaliação, no entanto, destaca que há precedentes históricos para os serviços de inteligência russos cooptarem grupos cibercriminosos para trabalhos alinhados ao Estado . Em resumo, o GreyVibe parece ser um grupo de sofisticação baixa a moderada que, por meio de seu uso agressivo de IA, "dá um soco mais forte do que o próprio peso" com efeito operacional letal .

Das iscas por e-mail à espionagem móvel: as cinco campanhas

A WithSecure conectou cinco campanhas distintas ao GreyVibe ao rastrear infraestrutura, malware e padrões operacionais em comum. Cada campanha explora uma vulnerabilidade específica, da caixa de entrada ao smartphone.

• PhantomMail: Esta campanha de spear-phishing se passa por agências do governo e do setor de energia ucranianos. As vítimas recebem e-mails com links para arquivos ZIP ou RAR hospedados no Google Drive ou no 4sync. Abrir o arquivo aciona a cadeia de infecção do PhantomRelay enquanto uma isca — como um PDF falso ou uma mensagem de erro — disfarça o ataque .
• PhantomClick: Uma evolução do manual de phishing, esta campanha usa uma técnica chamada ClickFix. As vítimas são induzidas a executar comandos maliciosos do PowerShell por conta própria, por meio de avisos falsos de CAPTCHA ou verificações de segurança do Cloudflare após clicarem em um link de um PDF enganoso, que pode levar a uma reunião real do Zoom para não levantar suspeitas .
• PrincessClub: Esta operação mira indivíduos para vigilância móvel. Os operadores se passam por contatos no Telegram e direcionam as vítimas para sites falsos de conteúdo adulto que entregam o spyware para Android FallSpy .
• DroneLink: Uma campanha especificamente voltada para a espionagem de entidades de defesa ucranianas, usando iscas com temas militares e de drones para comprometer redes .
• Nebo: Em execução simultânea desde agosto de 2025, esta campanha também distribui o spyware FallSpy, mas usa um conjunto diferente de carregadores customizados .

Um arsenal forjado por humanos e máquinas

A eficácia do GreyVibe vem de um conjunto de malwares feito sob medida, partes do qual a WithSecure avalia, com confiança moderada, terem sido construídas com assistência significativa de LLMs como ChatGPT e Gemini. As falhas de design introduzidas por esse desenvolvimento assistido por IA acabaram sendo um erro operacional fatal, concedendo aos pesquisadores meses de visibilidade sobre a atividade do grupo .

• PhantomRelay: Um Trojan de Acesso Remoto (RAT) para Windows e a carga de acesso inicial primária, entregue por meio de carregadores baseados em PyInstaller ou JavaScript .
• LegionRelay: Uma ferramenta de segundo estágio mais versátil, este RAT baseado em PowerShell se comunica com servidores de comando e controle (C2) por meio de uma API REST. Suas capacidades incluem enumeração e exfiltração de arquivos, captura de tela, roubo de dados de navegadores, Telegram e WhatsApp, e acesso via RDP. Os pesquisadores identificaram falhas de programação cruciais no LegionRelay que julgam ser resultado direto do desenvolvimento assistido por LLMs .
• FallSpy: Uma ferramenta de vigilância para Android usada nas campanhas PrincessClub e Nebo desde agosto de 2025. Ela coleta contatos, registros de chamadas, aplicativos instalados, detalhes do SIM, informações do dispositivo, SSID do Wi-Fi, localização, IP público e arquivos de mídia .
• Ofuscadores rotativos: O grupo alternava entre carregadores e ofuscadores customizados para evitar a detecção, incluindo LOOKVALPS (PowerShell), LOOKVALJS (JavaScript), DAYLIGHT (PowerShell, substituindo o LOOKVALPS a partir de outubro de 2025) e TEASOUP (JavaScript, substituindo o LOOKVALJS a partir de março de 2026) .

Ator estatal, cibercriminosos ou um híbrido? O enigma da atribuição

Embora as atividades do GreyVibe sirvam claramente aos interesses do Estado russo, a identidade do grupo não é uma simples atribuição estatal. A análise da WithSecure aponta para uma afiliação mais complexa e híbrida.

Os pesquisadores têm alta confiança de que as operações do GreyVibe estão alinhadas com os objetivos de coleta de inteligência da Rússia no conflito com a Ucrânia, com base na análise das vítimas (alvos militares, governamentais e de infraestrutura crítica) e nas ações observadas nos objetivos . Eles estão igualmente confiantes de que os operadores falam russo e trabalham no fuso horário de Moscou (UTC+3), com base em comentários no código, configurações de idioma do painel de administração e análise de seus horários de trabalho .

No entanto, há menos confiança em relação ao grupo ser um APT puro de estado-nação. Várias pistas sugerem fortes laços com o ecossistema do cibercrime. Variantes do PhantomRelay apareceram em grupos de cibercrime não relacionados, e o grupo usou um criador de ISOs único, potencialmente ligado ao infame ecossistema TrickBot. Outros indicadores incluem operadores enviando amostras de desenvolvimento ao VirusTotal, usando gírias da internet para nomear convenções (como "letsrollboyos" e "cuteuwu") e implantando um minerador de criptomoeda XMRig em algumas máquinas infectadas pelo LegionRelay .

A WithSecure avalia com confiança moderada que o GreyVibe tem conexões com o submundo criminal, mas a natureza exata do relacionamento — seja de hackers estatais absorvidos, afiliados contratados ou uma equipe híbrida — permanece incerta. A avaliação, no entanto, destaca que há precedentes históricos para os serviços de inteligência russos cooptarem grupos cibercriminosos para trabalhos alinhados ao Estado . Em resumo, o GreyVibe parece ser um grupo de sofisticação baixa a moderada que, por meio de seu uso agressivo de IA, "dá um soco mais forte do que o próprio peso" com efeito operacional letal .