یک چارچوب جدید فرماندهی و کنترل (C2) با نام NIK C2 شناسایی شده است که با ادغام قابلیت‌های هوش مصنوعی، نحوه عملیات مهاجمان را تغییر می‌دهد. این ابزار به عامل تهدید اجازه می‌دهد تا داده‌های حساس سرقتی را در همان لحظه و در طول جلسه فعال (Session)، توسط مدل‌های AI تحلیل کند.
ادغام هوش مصنوعی و سوءاستفاده از API
یکی از متمایزترین ویژگی‌های NIK C2، استفاده از APIهای OpenAI است. این بدافزار می‌تواند دستورات (Prompts) را مستقیماً از طریق سیستم قربانی به OpenAI ارسال کرده و پاسخ‌ها را برای مهاجم بازگرداند. نکته قابل توجه این است که اگر قربانی دارای یک کلید API فعال در سیستم خود باشد، بدافزار از همان کلید برای تأمین هزینه‌های پردازش AI استفاده می‌کند تا ردپایی از عامل تهدید باقی نماند و هزینه‌ها بر عهده قربانی باشد.
ویژگی‌های فنی و معماری
این ابزار یک Remote Access Tool (RAT) ۶۴ بیتی برای ویندوز است که با زبان Go توسعه یافته و دارای ویژگی‌های زیر است:
- ارتباطات: استفاده از WebSockets امن شده با TLS روی پورت ۴۴۳ و یک مکانیزم Fallback مبتنی بر HTTP که هر ۲۵۰ میلی‌ثانیه بررسی می‌شود.
- رمزنگاری: تمامی ترافیک با استفاده از AES-256-GCM رمزنگاری می‌شود.
- پایداری: برای جلوگیری از شناسایی و حذف، ترافیک را از طریق سه سطح اولویت‌بندی شده از URLها و لیست‌های سرور رمزنگاری شده هدایت می‌کند.
قابلیت‌های جاسوسی و تخریبی
این ابزار دارای طیف گسترده‌ای از قابلیت‌ها است که در دسته‌های زیر قرار می‌گیرند:
- سرقت داده‌ها (Stealer): استخراج پسوردهای ذخیره شده در مرورگرها، توکن‌های Discord، کیف پول‌های ارز دیجیتال و پسوردهای Wi-Fi.
- نظارت (Surveillance): ثبت کلیدهای فشرده شده (Keylogger) به صورت زنده، ثبت تصاویر صفحه، دسترسی به دوربین و میکروفون و نظارت بر Clipboard.
- حرکت عرضی (Lateral Movement): ایجاد پروکسی SOCKS5/HTTP و عملیات RDP برای نفوذ به سایر سیستم‌های شبکه.
- باج‌افزار (Ransomware): استقرار یک باج‌افزار قفل‌کننده صفحه (Screen-locking) که بدون رمزنگاری فایل‌ها، دسترسی کاربر را مسدود کرده و درخواست پرداخت به بیت‌کوین یا USDT می‌کند.
آماده‌سازی برای بوت‌کیت (Bootkit)
NIK C2 قادر است محیط بوت سیستم (UEFI یا BIOS) و وضعیت Secure Boot را شناسایی کند. این ابزار با ایجاد یک فایل جایگزین (Placeholder) به نام bootkit.bin، مسیرهای لازم را برای استقرار نهایی یک بوت‌کیت در مراحل بعدی آماده می‌کند تا کنترل عمیق‌تری بر سیستم به دست آورد.
تغییر در تاکتیک‌های مهاجمان
NIK C2 با ادغام جمع‌آوری داده و تحلیل آن در یک جلسه واحد، تأخیرهای مربوط به پردازش آفلاین را حذف کرده است. این موضوع باعث می‌شود پنجره‌های زمانی که پیش از این به مدافعان برای شناسایی حمله کمک می‌کرد، به شدت کاهش یابد و نیاز به نظارت رفتاری (Behavioral Vigilance) مستمر را افزایش دهد.
به‌روزرسانی (اکتبر 29, 2026 — infosecurity-magazine.com)
به‌روزرسانی: تحلیل‌های جدید نشان می‌دهد که چارچوب NIK C2 قادر است برای ارسال درخواست‌های هوش مصنوعی، از کلیدهای API OpenAI خود قربانی استفاده کند. این بدافزار در صورتی که عامل تهدید (Threat Actor) کلیدی را ارائه ندهد، متغیرهای محیطی (Environment Variables) سیستم عفونی شده را برای یافتن مقدار `OPENAI_API_KEY` جستجو می‌کند.
این قابلیت باعث می‌شود هزینه‌های مربوط به تحلیل داده‌های سرقتی توسط هوش مصنوعی مستقیماً از حساب قربانی کسر شود. علاوه بر این، از آنجایی که در لاگ‌های دسترسی OpenAI، کلید قربانی به عنوان درخواست‌کننده ثبت می‌شود، ردپای عامل تهدید به‌طور کامل پوشانده شده و شناسایی منشأ واقعی حملات دشوارتر می‌گردد.
