Хакери превръщат OpenAI API в оръжие в C2 рамката NIK за кражба на идентификационни данни и отдалечен контрол над системи

Нова рамка за зловреден софтуер, наречена NIK C2, превръща OpenAI API в инструмент за киберпрестъпници. Windows имплантът ѝ може да извлича пароли, да записва всяко натискане на клавиш, да поема скрито контрола над работния плот и да изпраща откраднатите данни към AI модел за анализ, всичко това в рамките на една и съща сесия.

Инструментът е 64-битова програма за отдалечен достъп до Windows, написана на Go. Тя комуникира със своя сървър през WebSocket връзки, защитени с TLS, на порт 443.

Използва и резервен HTTP канал, който се свързва със сървъра приблизително на всеки 250 милисекунди. Целият трафик е защитен с криптиране AES-256-GCM, а имплантът сменя последователно три нива на сървъри, така че премахването на един сървър да не го прекъсне.

Изследователи от Cisco Talos са идентифицирали зловредния софтуер и са публикували констатациите си на 29 октомври 2026 г. Talos е открил действащ сървър и заявява с умерена увереност, че NIK C2 е работеща рамка, а не демонстрация на концепция.

Пробите сочат поне три версии, което предполага опитен екип, който непрекъснато добавя функции. Злоупотребата с OpenAI не е нова.

По-ранният backdoor SesameOp, използващ OpenAI Assistants API, е ползвал услугата, за да скрива командния си трафик. NIK C2 отива крачка напред, като използва модела като вграден аналитик.

Хакери превръщат OpenAI API в оръжие

AI функцията работи чрез команда на име ai_generate. Операторът изпраща подсказка, API ключ и име на модел.

Имплантът изгражда заявка и я изпраща към крайната точка OpenAI Chat Completions от компютъра на жертвата. Изчаква до 60 секунди, прочита отговора и връща текста към панела на атакуващия заедно с данни за използваните токени. Ако не е посочен модел, по подразбиране се използва gpt-4.

Най-тревожната подробност е резервният вариант за ключа. Ако атакуващият не посочи API ключ, имплантът чете променливата OPENAI_API_KEY на машината на жертвата.

След това OpenAI таксува жертвата, а в дневниците се вижда ключът на жертвата, така че нищо не сочи към атакуващия. Talos определя това като съзнателен дизайнерски избор. Този вид зловреден софтуер с AI възможности привлича все повече вниманието на защитниците.

Talos е публикувал и инструмента с отворен код CAIRN, който търси AI крайни точки, шаблони за подсказки и модели на API ключове в подозрителни файлове. Тъй като обикновените приложения използват същите AI услуги, блокирането само на тези домейни не е практично.

Кражба на идентификационни данни, отдалечен контрол и ransomware със заключване на екрана

Имплантът поддържа над 52 команди. За кражба копира бази данни на браузърите Chrome, Edge, Brave, Opera и Firefox. Събира и запазени Wi-Fi пароли, Discord токени и настолни крипто портфейли като Exodus, Electrum и Bitcoin Core.

Атакува и разширения за портфейли като MetaMask, Coinbase Wallet и Phantom. Два шаблона за търсене претърсват целия диск за файлове с имена като „seed“, „mnemonic“, „private“ или „secret“.

Кийлогър предава всяко натискане на клавиш на живо към атакуващия. Скритият VNC дава пълен контрол над работния плот, който жертвата не може да види. Имплантът предлага и прокси тунели и контрол на RDP сесии за придвижване по-дълбоко в мрежата.

За да остане скрит, имплантът се преименува на имена като svchost.exe и csrss.exe и модифицира AMSI, така че PowerShell скриптовете да не се сканират.

Заобикаля и подканата на UAC чрез трик с fodhelper. Маркира се като критичен процес, така че прекратяването му от Task Manager предизвиква син екран на смъртта (BSOD).

Ransomware модулът е прост, но бърз. Той архивира Master Boot Record, записва HTML екран за заключване с данните за Bitcoin или USDT портфейла на атакуващия и го отваря чрез помощната програма mshta.exe на Windows, доверен инструмент, който атакуващите често използват злонамерено.

Ключ в регистъра Run с име „SystemLock“ връща екрана след всяко рестартиране. Модулът не криптира файлове, затова оставя малко криминалистични доказателства. Отделна функция за подготовка на bootkit проверява състоянието на UEFI, BIOS и Secure Boot.

Индикатори за компрометиране (IoC):

Забележка: IP адресите и домейните са умишлено дефанг-нати (напр. [.]), за да се предотврати случайно резолвиране или превръщане в хипервръзки. Възстановявайте оригиналния вид само в контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашия SIEM.