En Rysslandsnära grupp som forskare kallar GreyVibe har använt ChatGPT, Google Gemini och bildverktyget Ideogram för att skapa phishingbeten, skriva skadlig kod och driva verktyg efter intrång. Det finska säkerhetsföretaget WithSecure, som avslöjade gruppen i veckan, säger att fallet ger en försmak av hur mindre avancerade angripare kommer att arbeta.
GreyVibe har riktat in sig på ukrainska militära, statliga, civila och kommersiella mål sedan åtminstone augusti 2025, enligt WithSecure. Företaget upptäckte aktiviteten i januari 2026 och kopplar den till ryskspråkiga operatörer som arbetar i Moskvas tidszon. Bedömningen bygger på språket i gruppens malware-paneler, kommentarer i koden och command-and-control-servrar inställda på UTC+3. Längre än så vill WithSecure inte gå.
AI genom hela attackkedjan
Det ovanliga med GreyVibe är hur stor del av arbetet som tycks vara AI-assisterat. WithSecure fann generativ AI i framtagningen av beten, bland annat bilder för PrincessClub-kampanjen och falska sajter som användes i PrincessClub och PhantomClick. AI användes också i utvecklingen av resurser, däribland obfuskerings- och loader-skript samt hela bygget av ett Windows-implantat kallat LegionRelay. Därtill användes AI i verktyg efter intrång som levererades via LegionRelay och PhantomRelay. Gruppen nådde sina mål genom spear-phishing, falska captcha-sidor och bedrägliga ukrainska sajter för vuxenklubbar.
Den “supercharge”-ram som satts runt historien överdriver saken. GreyVibes AI-genererade skadliga kod innehöll konstruktionsfel, och det var just de misstagen som gjorde det möjligt för WithSecure att följa gruppen sedan mitten av 2025. Mohammad Kazem Hassan Nejad, senior threat intelligence-forskare på företaget, sade att det som utmärker gruppen är “operational ambition powered by AI”, inte ren teknisk skicklighet. AI lyfte ett medelmåttigt team över dess naturliga nivå och lämnade samtidigt fingeravtryck efter sig.
En grupp WithSecure inte vill kalla nation-state
Här är rapporten mer försiktig än rubrikerna. WithSecure är säkert på att operatörerna är ryskspråkiga, men vill inte klassa GreyVibe som cyberkriminell grupp, statsaktör eller en hybrid av de två. Företaget noterar möjliga överlapp med TrickBot-ekosystemet och gruppen som spåras som UAC-0098, men avstår från att slå fast en koppling. Den återhållsamheten är rimlig. Måltavlorna ligger i linje med ryska statsintressen, men att ligga i linje med något är inte detsamma som att vara styrd av det. En attribution till en statsaktör inom 48 timmar hade varit förhastad.
För försvarare är det användbara konkret, WithSecure har publicerat indicators of compromise kopplade till GreyVibes kampanjer och verktyg. De finns tillgängliga nu.
Varför en Ukrainafokuserad grupp ändå är relevant här
GreyVibes offer är ukrainska eller Ukrainarelaterade, så det här är ingen direkt varning till nordiska företag. Relevansen ligger i metoden. En grupp som WithSecure, ett Helsingforsbaserat företag, bedömer som begränsad i avancerad teknisk förmåga kunde ändå driva varierade kampanjer och utveckla egen skadlig kod eftersom AI fyllde kapacitetsluckorna. Tröskeln för vem som kan genomföra ett trovärdigt intrång har sänkts. Behandla AI-genererad phishing och AI-byggd skadlig kod som ett grundläggande hot, inte ett avancerat.
Referenser
- A Russia-nexus group leveraging AI across state-aligned operations
- Russia-Linked ’GreyVibe’ Attackers Use AI to Supercharge Cyberattacks
- GreyVibe hackers use ChatGPT, Gemini to power cyberattacks
This post is also available in:
English
Related News
GCHQ-chefen: AI används som vapen strax under krigströskeln
Artificiell intelligens förvandlas till ett vapen som verkar strax under tröskeln för öppet krig. Det varnade chefen för GCHQ för i onsdags, och Väst riskerar…
maj 29, 2026 IMF varnar: AI kan utlösa systemkris inom finanssektorn
Internationella valutafonden har varnat för att AI-drivna cyberangrepp kan utlösa systemstörningar över hela den globala finansmarknaden. I en blogg publicerad 7 maj konstaterade IMF att…
maj 19, 2026 G7-länderna lanserar AI SBOM-ramverk för leverantörskedjan
CISA och dess Group of Seven-partners släppte denna vecka vägledning som beskriver minimala element för software bills of materials inom artificiell intelligens, ett ramverk som…
maj 15, 2026 
