呢班人嘅玩法，絕對唔止係用AI幫手寫封文法好啲嘅釣魚電郵咁簡單。WithSecure嘅報告指出，GreyVibe直頭係用ChatGPT、Google Gemini同圖像生成工具Ideogram AI，一條龍搞掂晒整誘餌、砌假網站、開發自訂惡意軟件、甚至寫入侵後要用嘅劇本，完全係將AI嘅「生產力」應用喺網絡罪案之上 。

五場戰役：由釣魚電郵到手機監控

WithSecure透過追蹤佢哋共用嘅基礎設施、惡意軟件同操作模式，將GreyVibe嘅活動歸納為五場各有針對性嘅戰役，每一場都針對特定漏洞，由電郵 inbox 到智能電話都係攻撃層面。

• PhantomMail：呢場釣魚電郵戰役，專係假冒烏克蘭政府同能源機構。受害人會收到內含連結嘅電郵，連結會指向Google Drive或4sync上面嘅ZIP或RAR壓縮檔。一打開個檔案，就會啟動PhantomRelay感染鏈，同一時間，畫面會彈出一個假嘅官方PDF或者錯誤訊息做掩護，等你以為只係個檔案開唔到，而唔會察覺到背後俾人裝咗嘢 。
• PhantomClick：呢個係釣魚攻擊嘅進化版，佢哋用咗一種叫「ClickFix」嘅技術。受害人會收到一個假冒官方文件嘅PDF，入面有條Zoom會議連結。當你 click 入去諗住開會嗰陣，就會被引導去一個假嘅CAPTCHA驗證頁面，或者係偽冒Cloudflare嘅安全檢查頁面，然後呃你自己親手去執行一段惡意嘅PowerShell指令 。
• PrincessClub：呢個行動專係針對個人用戶，目標係做手機監控。黑客會喺Telegram上面假冒你嘅聯絡人，然後用甜言蜜語引誘你去一啲假冒嘅成人內容網站。你一上去，手機就會俾人裝咗個叫FallSpy嘅Android間諜軟件 。
• DroneLink：呢場戰役專為針對烏克蘭國防實體嘅間諜活動而設，佢哋用無人機同軍事主題嘅誘餌嚟滲透目標網絡 。
• Nebo：由2025年8月開始，同其他戰役同期進行，佢都係用嚟散播FallSpy間諜軟件，但就用咗另一套自訂嘅載入器 。

人類同AI「合作」嘅武器庫

GreyVibe之所以咁有效率，全靠一套度身訂造嘅惡意軟件組合。WithSecure有中等程度嘅信心評估，呢批軟件其中有唔少部分係喺ChatGPT同Gemini呢類大型語言模型（LLM）嘅「大力協助」下開發出嚟嘅。不過，AI寫code始終會有「手尾」，呢啲設計缺陷成為咗佢哋操作上嘅致命錯誤，反而令研究人員有幾個月時間可以睇清楚個組織嘅活動 。

• PhantomRelay：一個Windows遠端存取木馬（RAT），係主要嘅初始入侵工具，通常透過PyInstaller或者JavaScript載入器嚟派送 。
• LegionRelay：一個更加多用途嘅第二階段工具，係一個用PowerShell寫嘅木馬，透過REST API同指揮控制（C2）伺服器溝通。佢嘅功能包括列舉同偷取檔案、螢幕截圖、由瀏覽器、Telegram同WhatsApp度偷資料，同埋開RDP遠端桌面連線。研究人員喺LegionRelay入面發現咗一啲關鍵嘅編碼缺陷，佢哋判斷呢啲缺陷正正係由LLM輔助開發而直接導致嘅 。
• FallSpy：一個Android監控工具，自2025年8月起喺PrincessClub同Nebo戰役入面使用。佢會收集通訊錄、通話記錄、已安裝嘅應用程式、SIM卡資料、裝置資訊、Wi-Fi SSID、位置、公共IP同媒體檔案 。
• 輪換式混淆器：為咗避過偵測，呢個組織會輪流使用唔同嘅自訂載入器同混淆器，包括LOOKVALPS（PowerShell）、LOOKVALJS（JavaScript）、DAYLIGHT（PowerShell，由2025年10月起取代LOOKVALPS）同TEASOUP（JavaScript，由2026年3月起取代LOOKVALJS） 。

國家級黑客？網絡罪犯？定係「二合一」？

雖然GreyVibe嘅活動明顯係為俄羅斯國家利益服務，但呢個組織嘅身份，並唔係簡單一句「國家級黑客」可以概括。WithSecure嘅分析指向一個更加複雜嘅混合身份。

研究人員有高度信心認為，GreyVibe嘅行動同俄羅斯喺俄烏衝突中嘅情報收集目標一致，呢點可以從受害者類型（軍事、政府同關鍵基礎設施目標）同埋觀察到嘅行動目標睇得出 。佢哋同樣有高度信心，認為操作人員係講俄語，並且喺莫斯科時區（UTC+3）工作，呢個係根據程式碼入面嘅註解、管理面板嘅語言設定，同埋分析佢哋嘅工作時間得出嘅結論 。

不過，要確定佢哋係咪一個純粹嘅國家級APT組織，研究人員就冇咁大信心。有幾個線索顯示，佢哋同網絡犯罪生態系統有好強嘅聯繫。例如，PhantomRelay嘅變種曾經喺一啲唔相關嘅網絡犯罪群組入面出現，而佢哋仲用咗一個可能同臭名昭著嘅TrickBot生態系統有關嘅獨特ISO產生器。其他指標仲包括：操作人員會將開發樣本上傳到VirusTotal、用網絡用語嚟命名（好似 "letsrollboyos" 同 "cuteuwu" 咁），同埋喺一啲感染咗LegionRelay嘅電腦上面裝咗個XMRig加密貨幣挖礦程式 。

WithSecure有中等程度嘅信心評估，GreyVibe同更廣泛嘅犯罪地下世界有聯繫，但呢種關係嘅確切性質——係被「收編」嘅黑客、外判嘅合作夥伴，定係混合團隊——仍然係一個謎。不過，報告亦都指出，俄羅斯情報機構過往有吸納網絡犯罪組織為國家工作嘅先例 。總而言之，GreyVibe睇落似係一個技術水平唔算好高嘅組織，但透過佢哋進取咁將AI武器化，令到佢哋可以「越級挑戰」，產生致命嘅行動效果 。

呢班人嘅玩法，絕對唔止係用AI幫手寫封文法好啲嘅釣魚電郵咁簡單。WithSecure嘅報告指出，GreyVibe直頭係用ChatGPT、Google Gemini同圖像生成工具Ideogram AI，一條龍搞掂晒整誘餌、砌假網站、開發自訂惡意軟件、甚至寫入侵後要用嘅劇本，完全係將AI嘅「生產力」應用喺網絡罪案之上 。

五場戰役：由釣魚電郵到手機監控

WithSecure透過追蹤佢哋共用嘅基礎設施、惡意軟件同操作模式，將GreyVibe嘅活動歸納為五場各有針對性嘅戰役，每一場都針對特定漏洞，由電郵 inbox 到智能電話都係攻撃層面。

• PhantomMail：呢場釣魚電郵戰役，專係假冒烏克蘭政府同能源機構。受害人會收到內含連結嘅電郵，連結會指向Google Drive或4sync上面嘅ZIP或RAR壓縮檔。一打開個檔案，就會啟動PhantomRelay感染鏈，同一時間，畫面會彈出一個假嘅官方PDF或者錯誤訊息做掩護，等你以為只係個檔案開唔到，而唔會察覺到背後俾人裝咗嘢 。
• PhantomClick：呢個係釣魚攻擊嘅進化版，佢哋用咗一種叫「ClickFix」嘅技術。受害人會收到一個假冒官方文件嘅PDF，入面有條Zoom會議連結。當你 click 入去諗住開會嗰陣，就會被引導去一個假嘅CAPTCHA驗證頁面，或者係偽冒Cloudflare嘅安全檢查頁面，然後呃你自己親手去執行一段惡意嘅PowerShell指令 。
• PrincessClub：呢個行動專係針對個人用戶，目標係做手機監控。黑客會喺Telegram上面假冒你嘅聯絡人，然後用甜言蜜語引誘你去一啲假冒嘅成人內容網站。你一上去，手機就會俾人裝咗個叫FallSpy嘅Android間諜軟件 。
• DroneLink：呢場戰役專為針對烏克蘭國防實體嘅間諜活動而設，佢哋用無人機同軍事主題嘅誘餌嚟滲透目標網絡 。
• Nebo：由2025年8月開始，同其他戰役同期進行，佢都係用嚟散播FallSpy間諜軟件，但就用咗另一套自訂嘅載入器 。

人類同AI「合作」嘅武器庫

GreyVibe之所以咁有效率，全靠一套度身訂造嘅惡意軟件組合。WithSecure有中等程度嘅信心評估，呢批軟件其中有唔少部分係喺ChatGPT同Gemini呢類大型語言模型（LLM）嘅「大力協助」下開發出嚟嘅。不過，AI寫code始終會有「手尾」，呢啲設計缺陷成為咗佢哋操作上嘅致命錯誤，反而令研究人員有幾個月時間可以睇清楚個組織嘅活動 。

• PhantomRelay：一個Windows遠端存取木馬（RAT），係主要嘅初始入侵工具，通常透過PyInstaller或者JavaScript載入器嚟派送 。
• LegionRelay：一個更加多用途嘅第二階段工具，係一個用PowerShell寫嘅木馬，透過REST API同指揮控制（C2）伺服器溝通。佢嘅功能包括列舉同偷取檔案、螢幕截圖、由瀏覽器、Telegram同WhatsApp度偷資料，同埋開RDP遠端桌面連線。研究人員喺LegionRelay入面發現咗一啲關鍵嘅編碼缺陷，佢哋判斷呢啲缺陷正正係由LLM輔助開發而直接導致嘅 。
• FallSpy：一個Android監控工具，自2025年8月起喺PrincessClub同Nebo戰役入面使用。佢會收集通訊錄、通話記錄、已安裝嘅應用程式、SIM卡資料、裝置資訊、Wi-Fi SSID、位置、公共IP同媒體檔案 。
• 輪換式混淆器：為咗避過偵測，呢個組織會輪流使用唔同嘅自訂載入器同混淆器，包括LOOKVALPS（PowerShell）、LOOKVALJS（JavaScript）、DAYLIGHT（PowerShell，由2025年10月起取代LOOKVALPS）同TEASOUP（JavaScript，由2026年3月起取代LOOKVALJS） 。

國家級黑客？網絡罪犯？定係「二合一」？

雖然GreyVibe嘅活動明顯係為俄羅斯國家利益服務，但呢個組織嘅身份，並唔係簡單一句「國家級黑客」可以概括。WithSecure嘅分析指向一個更加複雜嘅混合身份。

研究人員有高度信心認為，GreyVibe嘅行動同俄羅斯喺俄烏衝突中嘅情報收集目標一致，呢點可以從受害者類型（軍事、政府同關鍵基礎設施目標）同埋觀察到嘅行動目標睇得出 。佢哋同樣有高度信心，認為操作人員係講俄語，並且喺莫斯科時區（UTC+3）工作，呢個係根據程式碼入面嘅註解、管理面板嘅語言設定，同埋分析佢哋嘅工作時間得出嘅結論 。

不過，要確定佢哋係咪一個純粹嘅國家級APT組織，研究人員就冇咁大信心。有幾個線索顯示，佢哋同網絡犯罪生態系統有好強嘅聯繫。例如，PhantomRelay嘅變種曾經喺一啲唔相關嘅網絡犯罪群組入面出現，而佢哋仲用咗一個可能同臭名昭著嘅TrickBot生態系統有關嘅獨特ISO產生器。其他指標仲包括：操作人員會將開發樣本上傳到VirusTotal、用網絡用語嚟命名（好似 "letsrollboyos" 同 "cuteuwu" 咁），同埋喺一啲感染咗LegionRelay嘅電腦上面裝咗個XMRig加密貨幣挖礦程式 。

WithSecure有中等程度嘅信心評估，GreyVibe同更廣泛嘅犯罪地下世界有聯繫，但呢種關係嘅確切性質——係被「收編」嘅黑客、外判嘅合作夥伴，定係混合團隊——仍然係一個謎。不過，報告亦都指出，俄羅斯情報機構過往有吸納網絡犯罪組織為國家工作嘅先例 。總而言之，GreyVibe睇落似係一個技術水平唔算好高嘅組織，但透過佢哋進取咁將AI武器化，令到佢哋可以「越級挑戰」，產生致命嘅行動效果 。