Kiberxavfsizlik yangiliklari

2 daqiqa o'qish

Yangi sun'iy intellekt bilan ishlaydigan NIK C2 zararli dasturi OpenAI API'dan foydalanib xakerlarga ma'lumotlarni o'g'irlash va Windows kompyuterlarini boshqarishda yordam beradi

Muallif: Kavichselvan

30-oktabr, 2026-yil

Cisco Talos NIK C2 ni aniqladi — bu Go tilida yozilgan, 64-bitli Windows masofaviy kirish vositasi bo'lib, u ishlaydigan OpenAI mijozini o'z ichiga oladi.

Operatorlar zararlangan mashina orqali so'rov yuborishi va modelning javoblarini o'zlarining C2 panelida o'qishi mumkin.

NIK C2 zararli dasturi

Cisco Talos tomonidan e'lon qilingan texnik tadqiqotga ko'ra, implant server bilan TLS bilan himoyalangan WebSockets orqali 443-portda bog'lanadi. Shuningdek, u har 250 millisekundda so'rov yuboradigan HTTP zaxira aylanishini ham ishlatadi.

Barcha trafik AES-256-GCM bilan shifrlanadi, kalit esa qattiq kodlangan urug'dan hosil qilinadi. Uchta ustuvor C2 darajasi uning o'chirilishiga chidamliligini ta'minlaydi: ish vaqti davomida yangilanadigan URL manzillari, shifrlangan server ro'yxati va qattiq kodlangan zaxira manzil.

Talos 87.120.196[.]120 manzilida jonli serverni ko'rdi, u total-sitevv[.]lol domeniga yo'naltirilgan. Uning sertifikati "nik-panel" umumiy nomidan foydalangan. Bu tadqiqotchilarni o'rtacha ishonch bilan bu funksional tizim ekanligiga, isbotlanmagan kontsept emasligiga ishontirdi.

NIK C2 Evolyutsiya xronologiyasi (Rasm manbasi: Talosintelligence)

aigenerate buyrug'i so'rov, ixtiyoriy API kaliti va ixtiyoriy model nomini qabul qiladi. Agar operator kalit taqdim etmasa, implant jabrlanuvchining OPENAIAPI_KEY muhit o'zgaruvchisini o'qiydi.

Shunda jabrlanuvchining hisobi hisob-kitobni to'laydi va OpenAI jurnallari hujumchini emas, balki jabrlanuvchini ko'rsatadi. Standart model — gpt-4. So'rovlar Chat Completions nuqtasiga 60 soniyalik kutish vaqti bilan yuboriladi.

Bu MalTerminal va x47.c kabi sun'iy intellekt bilan boshqariladigan botnetlar kabi LLM bilan ishlaydigan zararli dasturlarning o'sib borayotgan namunasiga mos keladi.

Dispetcher 52 dan ortiq buyruqni boshqaradi. Ular brauzer ma'lumotlarini, Discord tokenlarini, Wi-Fi parollarini, kripto hamyonlarini va urug' iboralarini o'g'irlashni, klaviatura kuzatuvchisi, ekran tasviri, kamera va audio orqali kuzatuvni, clipboard kuzatuvini, yashirin VNC, SOCKS5 va teskari proksi, shuningdek RDP operatsiyalari orqali masofaviy boshqaruv va yonma-yon harakatni, shuningdek, ro'yxatga olish kalitlari va kuzatuv jarayoni orqali doimiylikni o'z ichiga oladi.

Ransomware moduli Master Boot Record nusxasini zaxiralaydi. So'ngra u Bitcoin va USDT talablarini o'z ichiga olgan HTML qulflash ekranini yaratadi va uni mshta.exe orqali ishga tushiradi. Agar foydalanuvchi uni yopsa, partiya aylanishi ekranini besh soniya ichida qayta ochadi. Modul hech qanday faylni shifrlamaydi.

Alohida bootkit tayyorlash tartibi UEFI yoki BIOS va Secure Boot holatini tekshiradi. So'ngra u "bootkit.bin" nomli joylashtirish faylini yozadi.

NIK C2 Operatsion arxitekturasi (Rasm manbasi: Talosintelligence)

Implant o'zini csrss.exe deb qayta nomlaydi, o'zini muhim jarayon deb belgilaydi, shuning uchun uni tugatish Moviy Ekran O'limiga (BSOD) olib keladi, disk raskadrovka dasturini aniqlaganda jimgina chiqadi, fodhelper.exe o'g'irlash orqali UAC ni chetlab o'tadi va PowerShell'da AMSI ni tuzatadi.

ClamAV tahdidni Win.Trojan.GoDiscorder-10060526-0 sifatida aniqlaydi. Himoyachilar yuqoridagi C2 domeni va IP manziliga trafikni, SystemLock ro'yxatga olish kalitini, temp katalogidagi lockstart.bat va lockscreen.html fayllarini va oxirgi nuqtalardan api.openai.com ga kutilmagan chiquvchi chaqiruvlarni kuzatishi kerak.

Shuningdek, ular har qanday ochiq AI API kalitlarini aylantirishi kerak. Talos bunday tizimlar doimiy xulq-atvor kuzatuvini talab qilishini ta'kidlaydi, chunki ular to'plash va ekspluatatsiyani bitta sessiyada birlashtiradi.

Teglar Kiberxavfsizlik yangiliklari

Kavichselvan

Bu hafta issiq