Исследователи обнаружили работающую платформу NIK C2, которая даёт злоумышленнику широкий контроль над заражённым компьютером с Windows и позволяет обращаться к моделям OpenAI прямо во время атаки. Вредонос может красть пароли и данные браузеров, записывать нажатия клавиш, следить за экраном, камерой и микрофоном, а оператор способен передавать собранную информацию ИИ для анализа, не покидая активный сеанс.
Главная необычная функция NIK C2 скрывается в команде ai_generate. Получив запрос оператора, вредонос сам обращается к интерфейсу Chat Completions OpenAI с компьютера жертвы, забирает ответ модели и отправляет результат обратно через командно-контрольный сервер. Злоумышленник может, например, передать модели фрагмент найденной информации и попросить разобрать содержимое прямо во время работы на взломанном устройстве.
Разработчики предусмотрели ещё один неприятный сценарий. Обычно оператор передаёт NIK C2 собственный ключ API, но при его отсутствии вредонос ищет переменную среды OPENAI_API_KEY на компьютере жертвы. Если ключ там есть, программа использует чужую учётную запись. Запросы в таком случае оплачивает владелец ключа, а в журналах OpenAI обращения проходят с его учётными данными. По умолчанию найденные образцы выбирают GPT-4, хотя оператор может указать другую доступную модель без обновления самого вредоноса.
ИИ занимает лишь небольшую часть арсенала NIK C2. Исследователи насчитали больше 52 команд. Программа достаёт сохранённые пароли, файлы cookie и данные автозаполнения из Chrome, Edge, Brave, Opera и Firefox, ищет токены Discord, пароли от Wi-Fi и содержимое криптовалютных кошельков. Отдельный модуль сканирует файлы в поисках резервных фраз, закрытых ключей и других секретов.
Встроенный перехватчик клавиш отправляет оператору каждое нажатие почти сразу после ввода. NIK C2 также умеет перехватывать и подменять содержимое буфера обмена, делать снимки экрана, передавать изображение с рабочего стола, записывать звук с микрофона и получать данные с камеры.
После захвата компьютера оператор может использовать его как точку входа глубже в сеть. Вредонос запускает прокси-сервер, прокладывает туннели к другим системам, работает с сеансами удалённого рабочего стола и поддерживает скрытое управление рабочим столом. Для обхода защиты разработчики добавили вмешательство в AMSI, обход контроля учётных записей Windows, обнаружение отладчиков и запуск вредоносного кода внутри другого процесса.
С управляющей инфраструктурой NIK C2 общается сразу несколькими способами. Основной канал работает через WebSocket с TLS на порту 443, резервный использует HTTP. Передаваемые данные дополнительно шифруются AES-256-GCM, а список управляющих адресов построен в несколько уровней, чтобы потеря одного сервера не лишила оператора доступа к заражённой машине.
NIK C2 умеет и вымогать деньги, хотя найденный модуль не шифрует пользовательские файлы. Вымогатель-блокировщик создаёт полноэкранную страницу с требованием перевести Bitcoin или USDT, прописывает себя в автозапуск Windows и снова открывает окно примерно через пять секунд после закрытия. Оператор может менять сумму, адрес кошелька, текст требования и таймер.
Рядом с блокировщиком исследователи нашли подготовку к работе с загрузочной областью компьютера. NIK C2 определяет, использует машина UEFI или BIOS, проверяет состояние Secure Boot и создаёт файл с меткой NIK_BOOTKIT_PREP. Однако готового загрузочного вредоноса в найденных образцах не было: программа записывает лишь 16-байтовую заготовку, которую позднее можно заменить другим файлом.
Исследователи изучили как минимум три версии NIK C2. Все найденные образцы собрали с помощью Go 1.23.4, выпущенного в декабре 2024 года, поэтому нынешняя ветка программы появилась не раньше конца 2024 года. Разработчики постепенно добавляли новые команды и средства скрытности, что указывает на продолжающуюся доработку платформы.
Во время анализа специалисты также нашли действующий сервер NIK C2. Имя nik-panel в его TLS-сертификате совпало со строками внутри вредоносной программы. Работающая инфраструктура дала исследователям основания с умеренной уверенностью считать NIK C2 полноценным инструментом для реальных атак, а не демонстрационным проектом. При этом сведений о конкретных жертвах, количестве заражённых компьютеров или подтверждённых атаках с использованием модуля-вымогателя пока нет.