El grupo GreyVibe, vinculado a Rusia, aprovecha la IA de ChatGPT y Gemini para diseñar ciberataques contra objetivos estratégicos. Los investigadores detectaron la actividad a comienzos de 2026, aunque los análisis apuntan a que la operación estaba activa desde al menos agosto de 2025.
Sus principales objetivos han sido organizaciones ucranianas o entidades relacionadas con Ucrania, entre ellas organismos gubernamentales, estructuras militares, empresas privadas y organizaciones civiles.
Una campaña de espionaje con múltiples frentes
Todo parece indicar que GreyVibe mantiene una actividad compatible con operaciones de inteligencia alineadas con los intereses estratégicos de Rusia. Sin embargo, todavía no existen pruebas suficientes para atribuir la campaña directamente al Estado ruso, según informan desde Bleeping Computer.
Las evidencias que apuntan hacia un origen ruso incluyen el idioma utilizado en diversas herramientas maliciosas, comentarios encontrados en el código de los programas empleados y la configuración horaria de sus infraestructuras de mando y control, ajustadas a la zona horaria de Moscú.
Lo que diferencia a GreyVibe de otros grupos es la amplitud de técnicas empleadas. Los investigadores han identificado varias operaciones simultáneas destinadas a engañar a las víctimas mediante correos electrónicos, páginas web falsas, aplicaciones fraudulentas y herramientas de espionaje diseñadas específicamente para cada escenario.
El papel de ChatGPT y Gemini en los ataques
Uno de los aspectos más llamativos del informe es el uso intensivo de inteligencia artificial generativa. Los analistas detectaron indicios de que GreyVibe utilizó herramientas como ChatGPT, Google Gemini e Ideogram AI para desarrollar contenidos altamente realistas destinados a sus campañas de engaño.
Gracias a estas plataformas, los atacantes pudieron generar documentos falsificados, imágenes convincentes y materiales de ingeniería social con un nivel de detalle superior al observado habitualmente en campañas tradicionales.
La IA permitió construir señuelos más creíbles, adaptados a diferentes perfiles de víctimas y con una apariencia visual capaz de aumentar considerablemente las probabilidades de éxito de los ataques.
Este fenómeno refleja una tendencia creciente dentro del ecosistema de la ciberdelincuencia: la utilización de modelos de lenguaje para automatizar tareas que anteriormente requerían más tiempo, conocimientos especializados y recursos humanos.
Correos maliciosos y descargas fraudulentas
Entre las campañas detectadas figura una operación basada en correos electrónicos dirigidos específicamente a determinadas víctimas.
Los mensajes distribuían archivos comprimidos alojados en servicios legítimos de almacenamiento en la nube. Los documentos aparentaban proceder de organismos gubernamentales, compañías energéticas, entidades de telecomunicaciones o servicios de emergencia vinculados a Ucrania.
Una vez descargados, los archivos activaban diferentes cargas maliciosas capaces de comprometer los equipos afectados.
La utilización de plataformas legítimas para distribuir malware dificulta la detección de estas amenazas y aumenta la confianza de los usuarios en los archivos recibidos.
Falsos portales y trampas digitales
Otra de las técnicas empleadas consistió en crear páginas web que imitaban servicios ampliamente conocidos.
Algunas simulaban procesos de verificación de seguridad similares a los utilizados por plataformas populares de videoconferencia o sistemas de protección web. Las víctimas eran inducidas a ejecutar comandos en sus propios equipos bajo la falsa creencia de estar completando una comprobación de seguridad.
Los investigadores también localizaron falsos portales de citas y páginas para adultos orientadas al público ucraniano. Estos sitios distribuían programas espía para Android y herramientas maliciosas para sistemas Windows capaces de recopilar información sensible.
Incluso se detectaron personajes ficticios utilizados en aplicaciones de mensajería que mantenían conversaciones con las víctimas para generar confianza antes de iniciar el robo de información.
Malware diseñado para el espionaje
GreyVibe empleó varias familias de malware desarrolladas específicamente para sus operaciones.
Entre ellas destaca LegionRelay, un troyano de acceso remoto basado en PowerShell que permite extraer archivos, capturar pantallas, obtener credenciales almacenadas en navegadores y recopilar datos procedentes de aplicaciones de mensajería como Telegram o WhatsApp.
Los investigadores creen que parte de su desarrollo pudo haberse apoyado también en herramientas de inteligencia artificial.
Otra de las amenazas identificadas es PhantomRelay, capaz de recopilar información del sistema comprometido, ejecutar comandos remotos y cargar scripts de manera dinámica.
En dispositivos Android, GreyVibe utilizó FallSpy, un programa espía diseñado para recopilar contactos, registros de llamadas, ubicaciones, archivos multimedia, información de red y datos de tarjetas SIM.
Un grupo a medio camino entre espionaje y ciberdelincuencia
Aunque la actividad observada recuerda a las campañas de inteligencia patrocinadas por Estados, los investigadores encontraron comportamientos poco habituales en actores gubernamentales altamente sofisticados.
Por ejemplo, algunas versiones de prueba del malware fueron subidas a plataformas públicas de análisis, una práctica que suele evitarse en operaciones profesionales de espionaje. También se detectó el despliegue ocasional de programas de minería de criptomonedas en equipos comprometidos.
Estos indicios sugieren que GreyVibe podría estar formado por antiguos ciberdelincuentes, miembros actuales de organizaciones criminales o incluso equipos híbridos que combinan intereses económicos con objetivos geopolíticos.
Acerca del autor
