Cisco Talos разобрала NIK C2 — инструмент удалённого управления заражёнными компьютерами Windows со встроенным обращением к моделям OpenAI. Если оператор не передал свой API-ключ, программа ищет его в окружении заражённого компьютера. При наличии действующего ключа владельца запросы могут расходовать его оплачиваемую квоту.

По опубликованному 29 октября разбору, запрос отправляется с самого компьютера жертвы, а ответ модели возвращается в панель атакующего. Задание и модель выбирает оператор: описанная функция не означает, что ИИ самостоятельно взламывает систему. Для её работы вредоносная программа уже должна оказаться на компьютере; способ первоначального заражения в отчёте не установлен.

NIK C2 также содержит средства кражи паролей и файлов, перехвата нажатий клавиш и наблюдения за экраном. Отдельный вымогательский модуль блокирует экран и требует оплату, но не шифрует файлы. Название функции подготовки загрузочного вредоноса тоже не равнозначно готовому заражению прошивки: исследователи нашли в ней файл-заглушку.

Talos обнаружила работающую управляющую инфраструктуру и с умеренной уверенностью считает NIK C2 действующим инструментом, а не только демонстрационным проектом. Число жертв и фактические расходы по чужим API-ключам не раскрыты. Утверждение исследователей об ускорении атак благодаря ИИ в отчёте не подкреплено сравнительными измерениями.