Новый отчёт предупреждает: под видом ИИ-инструментов распространяются вирусы-шифровальщики. Фейковые нейросети могут заразить ваш ПК и заблокировать данные. Будьте бдительны и качайте софт только из проверенных источников!
Эксперты Cisco Talos обнаружили новую волну кибератак с использованием вредоносного ПО, замаскированного под легитимные установщики ИИ-инструментов
Ключевые угрозы:
- CyberLock — PowerShell-рансмия с социальной инженерией
- Lucky_Gh0$t — модификация Yashma/Chaos ransomware
- Numero — новый деструктивный malware с GUI-манипуляциями
Технический анализ угроз
1. CyberLock: PowerShell-рансмия с «гуманитарным» предлогом
Механика атаки:
- Распространяется через поддельный сайт novaleadsai[.]com (копия novaleads.app)
- Использует SEO-отравление для попадания в топ выдачи
- Загрузчик (.NET-исполняемый файл NovaLeadsAI.exe) содержит embedded PowerShell-скрипт
Технические особенности:
- Привилегия escalation через UAC bypass
- AES-шифрование файлов (200+ расширений) с добавлением .cyberlock
- Уничтожение следов через cipher.exe /w (LoLBins техника)
- Уникальная тактика: установка обоями изображения из блога по кибербезопасности
Финансовая схема:
- Требует $50,000 в Monero (XMR)
- Псевдогуманитарный предлог (помощь Украине, Палестине и др.)
2. Lucky_Gh0$t: маскировка под ChatGPT 4.0
Вектор распространения:
- Самораспаковывающийся SFX-архив «ChatGPT 4.0 full version — Premium.exe»
- Содержит легитимные Microsoft AI-инструменты для обхода антивирусов
Технология шифрования:
- Гибридное AES-256 + RSA-2048
- Разрушительное поведение для файлов >1.2GB (замена содержимого на «?»)
- Уникальный Session ID для коммуникации через getsession[.]org
3. Numero: деструктивный GUI-манипулятор
Прикрытие: Поддельный установщик InVideo AI Механика:
- Бесконечный цикл выполнения через batch + VBS скрипты
- Анти-отладочные проверки (обнаружение IDA, OllyDbg и др.)
- Коррупция GUI через Windows API (GetDesktopWindow, SendMessageW)
- Замена всех текстовых элементов на «1234567890»
Тактика распространения
- SEO-отравление (поддельные сайты в топе поиска)
- Социальные сети и Telegram-каналы
- Поддельные «бесплатные» предложения (12 месяцев free + $95/мес)
Рекомендации по защите
- Верификация источников:
- Проверка цифровых подписей
- Использование только официальных маркетплейсов
- Технические контрмеры:
- Сегментация сетей (особенно для R&D-подразделений)
- Application Allowlisting
- Мониторинг нестандартного использования LoLBins
- Cisco Security Stack:
- Secure Endpoint (детектирование по поведенческим сигнатурам)
- Umbrella (блокировка вредоносных доменов)
- Snort SIDs: 64896-64902 (для сигнатурного обнаружения)
Прогноз развития угроз
Атаки под прикрытием ИИ-инструментов станут доминирующим вектором в 2025-2026 гг., с акцентом на:
- Подделку генеративных ИИ (типа Midjourney, Gemini)
- Использование легитимных облачных API для маскировки C2-трафика
- Целевые атаки на ML-исследователей через poisoned datasets
