В начале 2026 года специалисты IBM X-Force зафиксировали атаку, в которой киберпреступная группировка Hive0163 использовала вредоносный PowerShell-скрипт под названием Slopoly. Его особенность — скрипт, судя по всему, был сгенерирован с помощью большой языковой модели. Это не первый случай, когда злоумышленники прибегают к помощи ИИ для создания малвари (ранее в отрасли фиксировались схожие инструменты VoidLink и PromptSpy), но история с Slopoly даёт неожиданно детальную картину того, как именно нейросеть помогает криминалу ускорять разработку.
Hive0163 — финансово мотивированная группировка, зарабатывающая на масштабной эксфильтрации данных и вымогательстве через программы-шифровальщики. Для получения первоначального доступа к жертвам группа пользуется услугами так называемых «брокеров доступа»: TA569 (он же SocGholish) и TAG-124 (известен также как KongTuke и LandUpdate808). Именно через них жертвы попадают в воронку заражения.
Цепочка атаки, зафиксированная в начале 2026 года, выглядела так. Жертву обманом заставляли запустить PowerShell-команду с помощью приёма ClickFix — это метод социальной инженерии, при котором пользователь сам копирует и выполняет вредоносную команду, думая, что решает техническую проблему. Также использовалась малвертайзинг-реклама. После запуска команды на машину загружался NodeSnake — первый компонент в цепочке, предназначенный для выполнения shell-команд, закрепления в системе и подгрузки следующей стадии.
Следующая стадия — фреймворк Interlock RAT. Это мультиплатформенный инструмент, работающий под Windows и Linux, с реализациями на PowerShell, PHP, C/C++, Java и JavaScript. Его возможности довольно широкие: запуск SOCKS5-прокси-туннелей, обратные shell-соединения, доставка дополнительных полезных нагрузок. Как раз через Interlock RAT на скомпрометированный сервер доставлялись и сам шифровальщик Interlock Ransomware, и Slopoly.
Slopoly разворачивался по пути
Почему IBM X-Force полагает, что скрипт написан нейросетью? Признаки характерные: обширные комментарии к коду, подробное логирование и обработка ошибок, аккуратно названные переменные. В комментариях скрипт сам себя описывает как «Polymorphic C2 Persistence Client» — «полиморфный клиент для устойчивого соединения с C2». Звучит внушительно, но исследователь IBM X-Force Голо Мюр отметил, что настоящего полиморфизма тут нет: скрипт не модифицирует собственный код в процессе выполнения. Скорее всего, билдер генерирует каждый экземпляр клиента с рандомизированными конфигурационными значениями и именами функций, что и создаёт иллюзию полиморфности.
Наблюдение Мюра и его коллег из X-Force по поводу уровня угрозы довольно трезвое. Технически малварь, созданная с помощью ИИ, пока что не представляет чего-то принципиально нового или сверхсложного. Код получается рабочий, но не гениальный. Настоящая опасность — в другом: ИИ радикально сокращает время разработки инструментария. То, на что раньше у преступников уходили недели ручного кодирования, теперь может быть готово за часы. Это позволяет масштабировать атаки, быстрее адаптировать инструменты, плодить варианты.
У Hive0163 и без Slopoly есть свой арсенал — загрузчик JunkFiction, упомянутый NodeSnake, целый фреймворк Interlock RAT. Slopoly в этой экосистеме занял нишу простого, но надёжного бэкдора, обеспечивающего постоянный доступ после начальной компрометации. По сути, это расходный элемент: если его обнаружат и удалят, билдер сгенерирует новый экземпляр с другими именами и параметрами.
Случай с Hive0163 и Slopoly неплохо иллюстрирует сдвиг, который происходит в киберпреступности прямо сейчас. ИИ не делает малварь умнее. Он делает её дешевле. А для групп, которые зарабатывают на объёме атак, это, пожалуй, даже важнее.
Изображение носит иллюстративный характер
Hive0163 — финансово мотивированная группировка, зарабатывающая на масштабной эксфильтрации данных и вымогательстве через программы-шифровальщики. Для получения первоначального доступа к жертвам группа пользуется услугами так называемых «брокеров доступа»: TA569 (он же SocGholish) и TAG-124 (известен также как KongTuke и LandUpdate808). Именно через них жертвы попадают в воронку заражения.
Цепочка атаки, зафиксированная в начале 2026 года, выглядела так. Жертву обманом заставляли запустить PowerShell-команду с помощью приёма ClickFix — это метод социальной инженерии, при котором пользователь сам копирует и выполняет вредоносную команду, думая, что решает техническую проблему. Также использовалась малвертайзинг-реклама. После запуска команды на машину загружался NodeSnake — первый компонент в цепочке, предназначенный для выполнения shell-команд, закрепления в системе и подгрузки следующей стадии.
Следующая стадия — фреймворк Interlock RAT. Это мультиплатформенный инструмент, работающий под Windows и Linux, с реализациями на PowerShell, PHP, C/C++, Java и JavaScript. Его возможности довольно широкие: запуск SOCKS5-прокси-туннелей, обратные shell-соединения, доставка дополнительных полезных нагрузок. Как раз через Interlock RAT на скомпрометированный сервер доставлялись и сам шифровальщик Interlock Ransomware, и Slopoly.
Slopoly разворачивался по пути
C:\ProgramData\Microsoft\Windows\Runtime\ через специальный билдер. Для закрепления в системе создавалась запланированная задача Windows с именем «Runtime Broker» — название, подобранное так, чтобы слиться с легитимными системными процессами. Скрипт выполнял команды через cmd.exe и отправлял результаты на командный сервер. Маяк (heartbeat) отправлялся каждые 30 секунд, а проверка новых команд происходила каждые 50 секунд. На одном из серверов жертвы доступ через Slopoly сохранялся больше недели. Почему IBM X-Force полагает, что скрипт написан нейросетью? Признаки характерные: обширные комментарии к коду, подробное логирование и обработка ошибок, аккуратно названные переменные. В комментариях скрипт сам себя описывает как «Polymorphic C2 Persistence Client» — «полиморфный клиент для устойчивого соединения с C2». Звучит внушительно, но исследователь IBM X-Force Голо Мюр отметил, что настоящего полиморфизма тут нет: скрипт не модифицирует собственный код в процессе выполнения. Скорее всего, билдер генерирует каждый экземпляр клиента с рандомизированными конфигурационными значениями и именами функций, что и создаёт иллюзию полиморфности.
Наблюдение Мюра и его коллег из X-Force по поводу уровня угрозы довольно трезвое. Технически малварь, созданная с помощью ИИ, пока что не представляет чего-то принципиально нового или сверхсложного. Код получается рабочий, но не гениальный. Настоящая опасность — в другом: ИИ радикально сокращает время разработки инструментария. То, на что раньше у преступников уходили недели ручного кодирования, теперь может быть готово за часы. Это позволяет масштабировать атаки, быстрее адаптировать инструменты, плодить варианты.
У Hive0163 и без Slopoly есть свой арсенал — загрузчик JunkFiction, упомянутый NodeSnake, целый фреймворк Interlock RAT. Slopoly в этой экосистеме занял нишу простого, но надёжного бэкдора, обеспечивающего постоянный доступ после начальной компрометации. По сути, это расходный элемент: если его обнаружат и удалят, билдер сгенерирует новый экземпляр с другими именами и параметрами.
Случай с Hive0163 и Slopoly неплохо иллюстрирует сдвиг, который происходит в киберпреступности прямо сейчас. ИИ не делает малварь умнее. Он делает её дешевле. А для групп, которые зарабатывают на объёме атак, это, пожалуй, даже важнее.
