GreyVibe：當生成式AI成為烏克蘭戰場上的新間諜武器

一個新近被揭露的威脅組織，正將商用生成式AI武器化，發動複雜且長期的間諜行動。這個被資安公司WithSecure追蹤為GreyVibe（或稱GREYVIBE）的俄羅斯關聯組織，自2025年8月起便活躍至今，其攻擊目標廣泛，涵蓋烏克蘭社會各個層面——從軍事和政府機構，到民間企業與個人 。

GreyVibe不僅利用AI生成釣魚郵件，更依賴ChatGPT、Google Gemini和影像生成工具Ideogram AI來製作誘餌、架設假網站、開發客製化惡意軟體，甚至編寫入侵後的攻擊工具，這標誌著AI如何放大網路威脅的重大演變 。

從魚叉式釣魚到行動間諜：五波攻擊行動

WithSecure透過追蹤共用的基礎設施、惡意軟體和操作模式，將五波不同的攻擊行動與GreyVibe連結起來。每波行動都針對特定的漏洞，從電子郵件信箱到智慧型手機，無孔不入。

• PhantomMail：這是一波魚叉式釣魚攻擊，駭客冒充烏克蘭政府和能源機構。受害者會收到帶有連結的電子郵件，指向存放在Google Drive或4sync上的ZIP或RAR壓縮檔。打開檔案便會部署PhantomRelay感染鏈，同時一個誘餌——例如假的官方PDF文件或錯誤訊息——會掩蓋攻擊行為 。
• PhantomClick：這是釣魚手法的進化版，採用了一種ClickFix技術。受害者被誘導點擊一個看似來自官方PDF的連結，然後在一個假的CAPTCHA驗證或Cloudflare安全檢查頁面中，自己手動執行惡意的PowerShell指令。為了避免引起懷疑，這個連結甚至可能真的將受害者帶入一場正常的Zoom會議 。
• PrincessClub：此行動將目標鎖定在個人，進行行動裝置監控。攻擊者在Telegram上冒充聯絡人，將目標引導至假的成人內容網站，藉此植入FallSpy Android間諜軟體 。
• DroneLink：一波專門針對烏克蘭國防實體的間諜行動，使用與無人機和軍事主題相關的誘餌來滲透網路 。
• Nebo：自2025年8月起同步進行的攻擊行動，同樣散播FallSpy間諜軟體，但使用了一組不同的客製化載入工具 。

由人類與機器共同打造的攻擊工具包

GreyVibe的殺傷力來自其量身打造的惡意軟體套件。WithSecure以中度信心評估，其中部分工具是在ChatGPT和Gemini等大型語言模型（LLM）的顯著輔助下開發的。然而，這種AI輔助開發所引入的設計缺陷，反倒成了致命的操作失誤，讓研究人員得以在數月內持續觀察該組織的活動 。

• PhantomRelay：一款Windows遠端存取木馬（RAT），也是主要的初始入侵酬載，透過PyInstaller或JavaScript為基礎的載入工具進行部署 。
• LegionRelay：一款功能更多元的第二階段攻擊工具。這個以PowerShell為基礎的RAT透過REST API與命令與控制（C2）伺服器通訊。其功能包括檔案列舉與竊取、螢幕截圖、從瀏覽器、Telegram和WhatsApp中竊取資料，以及遠端桌面協定（RDP）存取。研究人員在LegionRelay中發現了關鍵的程式碼缺陷，並判斷這些缺陷是LLM輔助開發的直接結果 。
• FallSpy：一款自2025年8月起用於PrincessClub和Nebo行動的Android監控工具。它會蒐集聯絡人、通話記錄、已安裝的應用程式、SIM卡資訊、裝置資訊、Wi-Fi SSID、位置、公開IP和媒體檔案 。
• 輪換使用的混淆器：該組織輪流使用多種客製化載入工具和混淆器來躲避偵測，包括LOOKVALPS（PowerShell）、LOOKVALJS（JavaScript）、DAYLIGHT（PowerShell，自2025年10月起取代LOOKVALPS），以及TEASOUP（JavaScript，自2026年3月起取代LOOKVALJS） 。

國家駭客、網路罪犯，還是混合體？難解的歸因謎題

儘管GreyVibe的活動明顯符合俄羅斯國家利益，但該組織的身分並非單純的國家級駭客那麼簡單。WithSecure的分析指向一種更複雜、更混合的關聯性。

研究人員有高度信心認為，基於受害者類型（軍事、政府和關鍵基礎設施目標）和觀察到的攻擊目的，GreyVibe的行動與俄羅斯在烏克蘭衝突中的情報蒐集目標一致 。他們同樣有高度信心，根據程式碼中的註解、管理後台的語言設定以及對其工作時間的分析，確認操作者是俄語人士，並在莫斯科時區（UTC+3）工作 。

然而，對於該組織是否為純粹的國家級APT（進階持續性威脅），研究人員的信心較低。幾個線索顯示它與網路犯罪生態系統有著密切的聯繫。PhantomRelay的變種曾出現在不相關的網路犯罪組織活動中，而該組織使用了一款獨特的ISO產生器，可能與惡名昭彰的TrickBot生態系統有關。其他跡象還包括：操作者將開發樣本上傳到VirusTotal、使用網路用語來命名（例如"letsrollboyos"和"cuteuwu"），以及在某些受LegionRelay感染的機器上部署了XMRig加密貨幣挖礦程式 。

WithSecure以中度信心評估，GreyVibe與更廣泛的犯罪地下網路有所聯繫，但這種關係的確切性質——究竟是吸收的國家駭客、簽約的附屬組織，還是混合型團隊——目前尚不明朗。不過，該評估也指出，俄羅斯情報機構過往確實有吸納網路犯罪集團為政府工作的先例 。總而言之，GreyVibe似乎是一個技術能力中低等的組織，但透過積極將AI武器化，使其能「以小博大」，產生了致命的攻擊效果 。