Talos opisał NIK C2, trojana na Windows z wbudowanym klientem API OpenAI

Cisco Talos opisał NIK C2, napisany w Go trojan zdalnego dostępu na 64-bitowy Windows. To złośliwe oprogramowanie, a nie luka w produkcie, więc nie ma poprawki do zainstalowania. Implant łączy się z serwerem przez WebSocket z TLS na porcie 443, a gdy to nie działa, odpytuje go przez HTTP co 250 milisekund. Cały ruch szyfruje AES-256-GCM. Adresy serwerów trzyma w trzech warstwach: w adresach aktualizowanych w trakcie działania, na zaszyfrowanej liście i pod adresem zapasowym. Polecenie ai_generate przesyła dowolne zapytania do API OpenAI Chat Completions z zainfekowanego komputera i odsyła wyniki operatorowi.

Kogo dotyczy

Według Cisco Talos implant działa na 64-bitowym Windows. Wykrada dane logowania, przejmuje sesje RDP, ukrywa się metodą process hollowing, pomaga przemieszczać się po sieci i ma moduł blokady ekranu dla okupu. Talos zna co najmniej trzy wersje. Wszystkie skompilowano w Go 1.23.4, czyli nie wcześniej niż pod koniec 2024 roku.