{"id":1021,"date":"2026-05-29T13:31:54","date_gmt":"2026-05-29T13:31:54","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/29\/el-nuevo-greyvibe-vinculado-a-rusia-apunta-a-ucrania-con-ciberataques-impulsados-por-ia-cyberdefensa-mx\/"},"modified":"2026-05-29T13:31:54","modified_gmt":"2026-05-29T13:31:54","slug":"el-nuevo-greyvibe-vinculado-a-rusia-apunta-a-ucrania-con-ciberataques-impulsados-por-ia-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/29\/el-nuevo-greyvibe-vinculado-a-rusia-apunta-a-ucrania-con-ciberataques-impulsados-por-ia-cyberdefensa-mx\/","title":{"rendered":"El nuevo GREYVIBE vinculado a Rusia apunta a Ucrania con ciberataques impulsados \u200b\u200bpor IA \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Un actor de amenazas previamente indocumentado apodado <b>GREYVIBE<\/b> se ha atribuido a ataques continuos y persistentes contra Ucrania y entidades relacionadas con Ucrania desde al menos agosto de 2025.<\/p>\n<p>GREYVIBE, seg\u00fan WithSecure, se considera un grupo de habla rusa que opera ampliamente en la zona horaria rusa, con actividades alineadas con los intereses estatales del Kremlin, espec\u00edficamente cuando se trata de esfuerzos de recopilaci\u00f3n de inteligencia dirigidos a Ucrania en el contexto de la guerra ruso-ucraniana en curso.<\/p>\n<p>\u00abEl grupo ha aprovechado m\u00faltiples vectores de ataque, incluidos correos electr\u00f3nicos de phishing, p\u00e1ginas captcha falsas y sitios web fraudulentos de clubes para adultos ucranianos, para entregar malware a un conjunto diverso de v\u00edctimas\u00bb, dijo el investigador de WithSecure, Mohammad Kazem Hassan Nejad. <a href=\"https:\/\/labs.withsecure.com\/publications\/greyvibe\">dicho<\/a> en un an\u00e1lisis. \u00abA lo largo de estas campa\u00f1as, el grupo se ha basado en ofuscadores, cargadores y malware desarrollados a medida\u00bb.<\/p>\n<p>La huella de la victimolog\u00eda abarca organizaciones militares, gubernamentales, civiles y empresariales. GREYVIBE, a pesar de su actividad afiliada a un estado-naci\u00f3n, tambi\u00e9n comparte v\u00ednculos con el ecosistema de cibercrimen ruso m\u00e1s amplio a trav\u00e9s de algunos de sus miembros que se cree que son actores cibercriminales actuales o anteriores.<\/p>\n<p>Adem\u00e1s, hay evidencia que indica que el adversario conf\u00eda en la inteligencia artificial generativa (GenAI) y los grandes modelos de lenguaje (LLM) para potenciar sus operaciones. En conjunto, WithSecure presenta el panorama de un \u00abgrupo poco a moderadamente sofisticado\u00bb que sufre errores de seguridad operativa y emplea herramientas asistidas por IA para aumentar sus esfuerzos de desarrollo de malware.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/threatlabz-vpn-risk-2026-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhnNON5UeWywT7OcPNw7V4L7QNWnCnm7Xl_99Y9ek8dL-gRwx-bWxQM1TKqt8deqqrdpUyKMuuijAWyyPQVB0s0qf8ntQ6ldFAJLru-QUWhddKTopc7SeNbBBnd-TsfFyRPP-AAyDuclLlL6XHK4_LXqDC_7eyaz9pzToYr7U543MhrJ7qcK-89sVWHTQUZ\/s728-e100\/zz-2-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Se ha observado que GREYVIBE utiliza m\u00faltiples cadenas de ataques contra sus objetivos:<\/p>\n<ul>\n<li><b>Correo fantasma<\/b>que utiliza correos electr\u00f3nicos de phishing para distribuir enlaces que apuntan a archivos ZIP o RAR maliciosos alojados en Google Drive y 4sync que contienen cargadores basados \u200b\u200ben JavaScript para lanzar un documento se\u00f1uelo, y PhantomRelay, un troyano de acceso remoto (RAT) basado en PowerShell dise\u00f1ado para perfilar el host y ejecutar scripts de PowerShell y comandos de Windows.<\/li>\n<li><b>clic fantasma<\/b>que utiliza p\u00e1ginas CAPTCHA falsas al estilo ClickFix en dominios falsos que se hacen pasar por Zoom y LAPAS para enga\u00f1ar a los usuarios para que ejecuten comandos que inician una cadena de infecci\u00f3n PhantomRelay.<\/li>\n<li><b>princesaclub<\/b>que utiliza sitios web falsos de clubes para adultos ucranianos para ofrecer FallSpy en Android y PhantomRelayV1 o LegionRelay en Windows, con iteraciones posteriores de los sitios se\u00f1uelo que introducen una funci\u00f3n de llamada en vivo basada en WebRTC para capturar audio y video de la v\u00edctima. Si bien FallSpy es un software esp\u00eda de Android capaz de recopilar datos confidenciales del dispositivo comprometido, LegionRelay es un RAT liviano basado en PowerShell que admite la enumeraci\u00f3n de archivos, la exfiltraci\u00f3n de archivos, la captura de capturas de pantalla, el robo de datos del navegador, la exfiltraci\u00f3n de datos de Telegram y WhatsApp y la configuraci\u00f3n de acceso RDP. PhantomRelayV1 es una variante de PhantomRelay con un mecanismo de persistencia de vigilancia personalizado.<\/li>\n<li><b>Enlace Drone<\/b>que utiliza sitios web que se hacen pasar por fundaciones ben\u00e9ficas que apoyan a las Fuerzas Armadas de Ucrania para ofrecer WireGuard y LegionRelay.<\/li>\n<li><b>Nebo<\/b>que utiliza una muestra de FallSpy que imita una pantalla de inicio de sesi\u00f3n en ruso, probablemente en un intento de enga\u00f1ar al personal militar ucraniano haci\u00e9ndoles creer que estaban accediendo a una terminal militar rusa.<\/li>\n<\/ul>\n<p>La variedad de vectores de entrega y herramientas utilizadas en los ataques probablemente se deba al uso de plataformas de inteligencia artificial, incluidas Ideogram AI, OpenAI ChatGPT y Google Gemini, para ayudar a generar im\u00e1genes y desarrollar LegionRelay, as\u00ed como scripts de ofuscaci\u00f3n y carga, infraestructura de backend y comandos posteriores al compromiso.<\/p>\n<p>La compa\u00f1\u00eda de ciberseguridad dijo que el uso de IA por parte de GREYVIBE ofrece m\u00faltiples ventajas, incluida la reducci\u00f3n de brechas en la experiencia t\u00e9cnica, la aceleraci\u00f3n del ciclo de vida del desarrollo y la reducci\u00f3n de la dependencia de malware o herramientas previamente conocidos que podr\u00edan ayudar en los esfuerzos de atribuci\u00f3n.<\/p>\n<div class=\"separator\" style=\"clear: both;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjtgAVMkOZZET8-seqrDnl7vK_gjtnzDzyyNqYoA-GPsTZOZuS8EhNaG4NJ1rvGCrhBMTi25DDvmysQ0dwuWa_j3WD_JzDHafmNDZnGtu1v54lsoWouag5dUXGl3BausbJQsmBv9HAKgDcuyAN1Mk0U32lZlMeVu7_zTyxKgPYolUry8LwM-DNEH1azVJSR\/s1700-e365\/captcha.png\" style=\"clear: left; display: block; float: left;  text-align: center;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjtgAVMkOZZET8-seqrDnl7vK_gjtnzDzyyNqYoA-GPsTZOZuS8EhNaG4NJ1rvGCrhBMTi25DDvmysQ0dwuWa_j3WD_JzDHafmNDZnGtu1v54lsoWouag5dUXGl3BausbJQsmBv9HAKgDcuyAN1Mk0U32lZlMeVu7_zTyxKgPYolUry8LwM-DNEH1azVJSR\/s1700-e365\/captcha.png\" alt=\"\" border=\"0\" data-original-height=\"780\" data-original-width=\"1518\"\/><\/a><\/div>\n<p>\u00abSi un actor puede generar, refactorizar o reemplazar con frecuencia componentes de su huella operativa con asistencia de IA, los m\u00e9todos tradicionales de agrupaci\u00f3n basados \u200b\u200ben artefactos t\u00e9cnicos estables pueden volverse menos confiables con el tiempo\u00bb, dijo Nejad.<\/p>\n<p>Dicho esto, el uso de IA tambi\u00e9n ha tenido el efecto secundario de introducir fallas de dise\u00f1o en LegionRelay, exponiendo la funcionalidad backend del malware. Esta es otra se\u00f1al que sugiere que GREYVIBE puede no ser un actor puro de Estado-naci\u00f3n, ya que es poco probable que adversarios sofisticados cometan tales errores.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/ai-cant-stop-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjPEV6-530TOlxG6PjrmdlY623wpBwduZ7t1HV6flcmO5R4q4AmfixDUzW0CrhlvMVNWbhvOIso-UDNTka4W_W9Chrdj_dglwBZwi7DuePM2IMIl-hfUYVIqBXgfpr_2619K8Gptb4LzwJ6gUbi7lWl2M8AFQJsHEaw63Q7tZ6708YGruiHrr0Y2W9YYxLQ\/s728-e100\/ThreatLocker-d.png\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Los v\u00ednculos del grupo de hackers con el ecosistema cibercriminal se basan en m\u00faltiples factores:<\/p>\n<ul>\n<li>Posible acceso y uso de un constructor ISO con v\u00ednculos sospechosos con la pandilla TrickBot y UAC-0098<\/li>\n<li>Presencia de variantes de PhantomRelay en grupos de actividades de delitos cibern\u00e9ticos aparentemente no relacionados, como un <a href=\"https:\/\/fieldeffect.com\/blog\/quick-you-need-assistance\">microsoft<\/a> Voz de equipos <a href=\"https:\/\/fieldeffect.com\/blog\/quick-you-need-assistance\">phishing<\/a> <a href=\"https:\/\/www.nccgroup.com\/research\/rapid-breach-social-engineering-to-remote-access-in-300-seconds\/\">campa\u00f1a<\/a> entre julio de 2025 y febrero de 2026, y una cadena de entrega KongTuke entre finales de febrero y finales de marzo de 2026 que utiliz\u00f3 ClickFix para distribuir el malware.<\/li>\n<li>La carga de muestras de prueba y desarrollo inicial a VirusTotal<\/li>\n<li>Uso de t\u00e9rminos de jerga de Internet como \u00abletsrollboyos\u00bb, \u00abtotallyunsus\u00bb y \u00abcuteuwu\u00bb como convenciones de nomenclatura para artefactos de desarrollo.<\/li>\n<li>La implementaci\u00f3n del minero XMRig en una peque\u00f1a cantidad de m\u00e1quinas infectadas con LegionRelay<\/li>\n<\/ul>\n<p>\u00abEn conjunto, evaluamos con confianza moderada que el grupo tiene v\u00ednculos con el ecosistema de cibercrimen m\u00e1s amplio, y con confianza baja a moderada que involucra a miembros cibercriminales actuales o anteriores\u00bb, dijo WithSecure. \u00abLa naturaleza exacta de su relaci\u00f3n con el Estado ruso sigue sin estar clara, si dichos miembros han sido absorbidos por un grupo respaldado por el Estado, si operan de forma independiente bajo tareas dirigidas por el Estado o si han formado un equipo h\u00edbrido\u00bb.<\/p>\n<p>\u00abEl grupo ocupa un \u00e1rea gris entre el cibercrimen y la actividad afiliada al Estado, lo que complica los esfuerzos de atribuci\u00f3n y desdibuja las distinciones tradicionales entre estas categor\u00edas\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Un actor de amenazas previamente indocumentado apodado GREYVIBE se ha atribuido a ataques continuos y persistentes contra Ucrania y entidades relacionadas con Ucrania desde al menos agosto de 2025. GREYVIBE, seg\u00fan WithSecure, se considera un grupo de habla rusa que opera ampliamente en la zona horaria rusa, con actividades alineadas con los intereses estatales del [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":731,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[27,1067,31,24,2798,380,169,127,1278,493,242],"class_list":["post-1021","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-apunta","tag-ciberataques","tag-con","tag-cyberdefensa-mx","tag-greyvibe","tag-impulsados","tag-nuevo","tag-por","tag-rusia","tag-ucrania","tag-vinculado"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1021","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1021"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1021\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/731"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1021"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1021"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1021"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}