Популярність інструментів штучного інтелекту зростає, і разом із цим з’являються нові кіберзагрози. Зловмисники все частіше маскують шкідливі програми під нібито офіційні встановлювачі AI-сервісів, використовуючи схожі домени, яскраві банери, SEO-просування та соцмережі. Такий підхід вводить користувачів в оману, створює відчуття довіри й мотивує завантажувати файли, які насправді приховують небезпеку.
У матеріалі пояснюється, як працює цей механізм обману, які методи використовують кіберзлочинці, чому саме інструменти ШІ стали такою привабливою приманкою та на що варто звертати увагу перед тим, як встановлювати будь-яку програму. Також читач отримає практичні поради щодо перевірки джерел, мінімізації ризиків та безпечної взаємодії з інструментами AI у повсякденній роботі.
Штучний інтелект дедалі більше поширюється в різних бізнес-вертикалях, що призводить до трансформації галузей завдяки автоматизації, прийняттю рішень на основі даних та покращенню взаємодії з клієнтами. Однак, оскільки ШІ продовжує рухати вперед численні сектори промисловості, зловмисники використовують його популярність, розповсюджуючи низку шкідливих програм, замаскованих під інсталятори та інструменти рішень ШІ.
Зловмисники використовують різноманітні методи та канали для розповсюдження цих шахрайських інсталяторів, включаючи тактику SEO-отруєння, щоб маніпулювати рейтингами пошукових систем та призводити до появи своїх шкідливих веб-сайтів або посилань для завантаження у верхній частині результатів пошуку, а також такі платформи, як Telegram або месенджери соціальних мереж.
В результаті, нічого не підозрюючі компанії, які шукають рішення на основі штучного інтелекту, можуть бути обманом змушені завантажити підроблені інструменти, в які вбудовано шкідливе програмне забезпечення. Така практика становить значний ризик, оскільки вона не лише ставить під загрозу конфіденційні бізнес-дані та фінансові активи, але й підриває довіру до законних ринкових рішень на основі штучного інтелекту. Тому організації та користувачі повинні бути надзвичайно обережними, ретельно перевіряти джерела та покладатися виключно на авторитетних постачальників, щоб не стати жертвами цих загроз.
Нещодавно були виявлені численні загрози, замасковані під рішення штучного інтелекту — серед них сімейства програм-вимагачів CyberLock та Lucky_Gh0$t і нове руйнівне ПЗ під назвою «Numero». Легітимні версії подібних AI-інструментів особливо популярні в B2B-продажах, технологічній та маркетинговій сферах, тож саме користувачі й організації з цих галузей опиняються підвищеному ризику.
Зловмисники створили фальшивий сайт під доменом «novaleadsai[.]com», який імітував легітимний ресурс «novaleads.app» — платформу для монетизації лідів, що допомагає бізнесу підвищувати ефективність роботи з потенційними клієнтами за допомогою різних сервісів та моделей продуктивності. Така підміна була спрямована на введення користувачів в оману та спонукання їх завантажити шкідливе ПЗ під виглядом інструментів штучного інтелекту.
На підробленому вебсайті актор переконує користувачів завантажити продукт, пропонуючи безкоштовний доступ до інструменту протягом перших 12 місяців, а потім щомісячну підписку в розмірі 95 доларів. Зловмисник також використовував техніку SEO-маніпуляції, завдяки якій його підроблений вебсайт з’являвся у верхніх рядках результатів пошуку в онлайн-пошукових системах.
Коли користувач завантажує підроблений продукт штучного інтелекту як ZIP-архів, він містить виконуваний файл .NET з назвою файлу «NovaLeadsAI.exe». Виконуваний файл було скомпільовано 2 лютого 2025 року, тобто в той самий день, коли було створено підроблений домен «novaleadsai[.]com».
Файл «NovaLeadsAI.exe» – це завантажувач, у який як файл ресурсів вбудовано скрипт PowerShell програми-вимагача CyberLock. Коли жертва запускає виконуваний файл завантажувача, вона розгортає програму-вимагача.
Програма-вимагач CyberLock, ймовірно, діяла ще в лютому 2025 року. У повідомленні з вимогою викупу стверджується, що зловмисник отримав повний доступ до конфіденційних бізнес-документів, особистих файлів та конфіденційних баз даних, вимагаючи чималий викуп в обмін на ключі розшифрування. Жертвам доручають зв’язатися зі зловмисником, надіславши електронного листа на адресу «cyberspectreislocked@onionmail[.]org».
Зловмисник CyberLock вимагає, щоб викуп у розмірі 50 000 доларів США був сплачений виключно в криптовалюті Monero (XMR), та використовує психологічну тактику, неправдиво стверджуючи, що викупні платежі будуть використані для гуманітарної допомоги в таких регіонах, як Палестина, Україна, Африка та Азія. Зловмисник розділяє платіж на два окремі гаманці, що ускладнює відстеження захисників.
Записка з вимогою викупу сконструйована для залякування та тиску на жертв — погрози оприлюднення нібито викрадених даних, якщо платіж не буде здійснено протягом трьох днів. Водночас у коді програми-вимагача не виявлено підтверджень реальної функції вилучення даних.
Програма-вимагач CyberLock написана на PowerShell, вбудована з кодом CSharp та доставляється жертвам як вбудований ресурс завантажувача .NET.
Коли CyberLock виконується, він спочатку використовує функції GetConsoleWindow з kernel32.dll та ShowWindow з user32.dll, щоб приховати вікно PowerShell. Потім він генерує секрет, розшифровуючи зашифрований відкритий ключ, і використовує його для отримання ключа AES та IV під час процесу шифрування.
CyberLock має можливість підвищувати привілеї та повторно виконуватися з адміністративними правами, якщо він ще не працює в підвищеному контексті.
CyberLocker перераховує папки та файли логічних розділів з мітками «C:\», «D:\» та «E:\». Він шифрує цільові файли за допомогою AES та додає до зашифрованих файлів розширення файлу «.cyberlock».
Цільові розширення файлів та категорії наведено нижче:
Після шифрування цільових файлів CyberLock створює на робочому столі комп’ютера жертви записку з вимогою викупу з назвою файлу «ReadMeNow.txt». Вміст записки з вимогою викупу записується в неї з вбудованих рядків у скрипті PowerShell програми-вимагача.
Після залишення записки з вимогою викупу зловмисник завантажує заголовне зображення з блогу про кібербезпеку в тимчасову папку профілю користувача, встановлює його шлях у реєстрі як «Шпалери» і вмикає фон за допомогою команд PowerShell. Мотив такої дії залишається невідомим.
Зрештою, CyberLock використовує бінарний файл «cipher.exe» (LoLBin) з параметром «/w» для стирання вільного місця на розділах жорсткого диска жертви, що перешкоджає відновленню видалених файлів за допомогою спеціальних аналізів.
«Cipher.exe» – це вбудований інструмент командного рядка Windows для керування шифруванням файлів і папок. Одна з його функцій дозволяє користувачам запобігати відновленню видалених файлів, перезаписуючи вільний простір за допомогою параметра «/w». Це було розроблено Microsoft для законних цілей, таких як безпечне очищення дисків перед їх перерозподілом або дотримання законів про захист даних, щоб гарантувати, що конфіденційні дані не будуть відновлені сторонніми особами.
Зловмисники часто зловживають цією функцією, щоб знищити свої шкідливі сліди або назавжди видалити файли з машин жертв. Як зазначають дослідники Volexity, цей метод раніше використовувався російською антивірусною стратегією у своїх атаках.
У ході дослідження було зафіксовано випадки поширення програми-вимагача Lucky_Gh0$t, замаскованої під інсталятор популярного AI-сервісу. Шкідливе ПЗ поширювалося у вигляді саморозпаковувального (SFX) ZIP-файла з назвою «ChatGPT 4.0 full version — Premium.exe», що мало створити ілюзію легітимного програмного забезпечення та ввести користувачів в оману.
Шкідливий інсталятор SFX містив папку з виконуваним файлом програми-вимагача Lucky_Gh0$t з назвою файлу «dwn.exe», який імітує легітимний виконуваний файл Microsoft «dwm.exe». Папка також містила легітимні інструменти штучного інтелекту з відкритим кодом від Microsoft, доступні в їхньому репозиторії GitHub для розробників та фахівців з обробки даних, які працюють зі штучним інтелектом, зокрема в екосистемі Azure. Намір зловмисника включити легітимні інструменти до архіву SFX, ймовірно, полягає в тому, щоб уникнути виявлення сканерів файлів антивірусного програмного забезпечення, маскуючись під легітимний пакет.
Скрипт SFX виконує програму-вимагач, коли жертва запускає шкідливий файл встановлення SFX.
Програма-вимагач Lucky_Gh0$t — це варіант програми-вимагача Yashma, в якому більшість функцій залишилися незмінними, включаючи методи ухилення, видалення тіньових копій томів та резервних копій, а також методи шифрування AES-256 та RSA-2048. Також було помічено кілька незначних змін у бінарному файлі Lucky_Gh0$t з обмеженнями розміру файлів, які програма-вимагач має враховувати під час шифрування.
Lucky_Gh0$t атакує файли на комп’ютері жертви розміром приблизно менше 1,2 ГБ та шифрує їх за допомогою ключа AES з RSA-шифруванням, додаючи 4-значний випадковий буквено-цифровий символ як розширення файлу. Цільові файли для шифрування включають:
Текстові, кодові та конфігураційні файли
Файли Microsoft Office та Adobe
Медіаформати та зображення
Архівні програми та інсталятори
Резервні копії та файли бази даних
Комплект пакетів Android, сторінки сервера Java та сторінки активного сервера
Файли сертифікатів
Рішення Visual Studio та PostScript
Для цільових файлів розміром понад 1,2 ГБ програма-вимагач створює новий файл такого ж розміру, як і оригінальний файл, і записує один символ «?» як вміст файлу. Вона додає до нового файлу 4-значне випадкове буквено-цифрове розширення файлу та видаляє оригінальний файл, демонструючи деструктивну поведінку.
Програма-вимагач Lucky_Gh0$t надає жертвам особистий ідентифікатор у їхніх записках з вимогою викупу. Для подальшого зв’язку щодо сплати викупу та розшифрування вона доручає жертвам зв’язатися зі зловмисником за допомогою захищеної платформи обміну повідомленнями за адресою «getsession[.]org» з унікальним ідентифікатором сеансу.
Під час розслідування виявлено нове руйнівне шкідливе ПЗ під назвою «Numero», що маскується під інсталятор інструмента для створення відео на основі ШІ (аналог InVideo AI). InVideo AI — відома онлайн-платформа для маркетингових роликів, контенту для соцмереж та презентацій, і зловмисник навмисно підробив метадані файлу, щоб видати шкiдливий пакет за легітимний продукт.
Підроблений інсталятор — це дроппер, що містить шкідливий пакетний файл Windows, VB-скрипт та виконуваний файл Numero з назвою файлу «wintitle.exe». Коли жертва запускає підроблений інсталятор, вона розміщує шкідливі компоненти в папці у тимчасовій папці програми локального профілю користувача. Потім вона виконує розблокований пакетний файл Windows через оболонку Windows у нескінченному циклі. Спочатку вона запускає шкідливе програмне забезпечення Numero, а потім зупиняє його виконання на 60 секунд, виконуючи VB-скрипт через cscript.
Після відновлення виконання пакетний файл завершує процес роботи шкідливого програмного забезпечення Numero та перезапускає його. Завдяки реалізації нескінченного циклу в пакетному файлі шкідливе програмне забезпечення Numero безперервно запускається на комп’ютері жертви.
Поведінка Numero відповідає поведінці шкідливого програмного забезпечення для маніпуляторів вікон. Numero — це 32-розрядний виконуваний файл Windows, написаний на C++ та скомпільований 24 січня 2025 року.
Numero уникає аналізу, перевіряючи дескриптори процесів різних інструментів аналізу шкідливих програм та налагоджувачів, включаючи IDA, x64 debugger, x32debugger, ollydbg, scylla, windbg, reshacker, ImportREC, Immunity debugger, Zeta debugger та Rock debugger.
Шкідливе програмне забезпечення Numero створює та виконує потік у нескінченному циклі. Код потоку взаємодіє з графічним інтерфейсом Windows та маніпулює вікном робочого столу жертви за допомогою API Windows GetDesktopWindow, EnumChildWindows та SendMessageW. Воно постійно відстежує вікно робочого столу жертви та підключається до дочірнього вікна, створеного на робочому столі жертви. Numero перезаписує заголовок, кнопки та вміст вікна числовим рядком «1234567890», пошкоджуючи жертву та роблячи її непридатною для використання.
Зловмисники експлуатують популярність ШІ, маскуючи підроблені інсталятори під легітимні інструменти, щоб доставляти рансомвари та руйнівне ПЗ. Щоб знизити ризик — завантажуйте програми тільки з офіційних сайтів, ретельно перевіряйте домени й підписи файлів, використовуйте поведінковий захист і регулярно перевіряйте та тестуйте резервні копії. Усвідомлена обережність і багаторівневий захист — найкращий спосіб уникнути таких атак.
