攻击者使用疑似AI生成的PowerShell脚本映射Active Directory

导语：网络安全研究人员披露了一起入侵事件，其中未知威胁行为者利用疑似AI生成（vibe-coded）的PowerShell脚本对Active Directory (AD)进行枚举，并使用s5cmd和SharpShares等工具完成数据发现与外泄。此外，Sygnia在近期报告中描述了一起在约72小时内完成的AI辅助AWS云环境入侵案例。

网络安全研究人员披露了一起入侵事件，其中一名未知威胁行为者利用一个疑似"氛围编码"(vibe-coded)的PowerShell脚本来执行Active Directory (AD)枚举操作。

Huntress研究人员Jevon Ang和Dray Agha表示："该脚本会查找域控制器(DC)，映射用户、计算机和域，然后创建目录并导出多个文件，最终生成AD_Report.html以衡量枚举尝试的成功与否。"

攻击链中，威胁行为者首先使用一组预先获取的凭据，通过远程桌面协议(RDP)访问了一台加入域的Windows服务器，随后将工具暂存在"C:\ProgramData\"文件夹中。该事件发生于2026年6月初。

其中包括一个用于映射Active Directory环境的人工智能(AI)生成的有效载荷。这一判断基于多个明显迹象，如提示词迭代标题、占位符字符串、过度工程化的代码（包含多种查找域控制器的方法），以及使用青色、绿色、红色和黄色美化控制台输出。

Huntress将这个定制PowerShell脚本描述为"极具攻击性"和"高噪声"，利用了"五步级联回退机制"来实现侦察和发现。该脚本标题为"100% Working AD Information Gathering Script – FULLY FIXED"，表明攻击者与大语言模型(LLM)进行了反复交互。

一旦定位到主域控制器，该脚本会启动数据收集例程，系统性地收集AD用户、计算机、组、组织单位(OU)和信任关系，并将详细信息存储到暂存目录中。约30分钟后，攻击者转向部署s5cmd——一款用于批量文件操作的合法工具，以及SharpShares——一款基于C#的网络共享枚举工具，以查找用户可访问的数据存储库。

在最后阶段，数据被写入CSV文件、归档并外泄至远程服务器，但在此之前会创建一个HTML文件，以Active Directory清单报告的形式汇总数据窃取情况。研究人员解释道："这很可能是LLM注入的'有用'提示，攻击者只是照单全收，而非有意将其编写到脚本中。"

这一进展再次表明，威胁行为者正在借助AI模型生成的"氛围编码"恶意软件来扩充其武器库，即便该技术尚未以全新的方式被滥用。它真正改变的是降低了网络犯罪的进入门槛，使技术较差的攻击者也能以最小的努力构建出能力强、隐蔽性好的工具。

Huntress指出："底层攻击链仍然类似于我们多年来所见的经典打砸抢(smash-and-grab)剧本。这一核心方法论保持一致，但现在正被AI选择性地增强。这种混合方式优先考虑攻击性和速度而非隐蔽性，使威胁行为者能够以前所未有的速度执行极具破坏性的攻击活动。"

在上周发布的一份报告中，Sygnia披露，AI驱动的攻击者不一定需要新型恶意软件或零日漏洞，真正的转变在于网络入侵可以以比防御者遏制速度更快的速度和规模进行编排。该事件响应公司表示，他们观察到一起AI辅助的云攻击，在针对一个基于亚马逊网络服务(AWS)的大型环境的攻击中，从初始访问到全面入侵的进展仅在约72小时内完成。该活动的最终目标被评估为经济利益驱动，攻击者利用对受害者云基础设施的访问权限作为敲诈勒索的筹码。

Sygnia称："威胁行为者反复利用新获取的凭据重新启动发现、密钥收集、持久化和影响活动。""该攻击依赖的是熟悉的云技术，而非新型恶意软件或零日漏洞。""威胁行为者并非在利用单一的配置错误；他们在一系列应用服务、AWS资源、源代码存储库、CI/CD工作流、运行时组件和数据存储之间串联弱点，同时快速执行凭据发现、密钥收集、云枚举、部署管道滥用、运行时修改、数据库访问和运营中断。"

据Sygnia所述，攻击者反复尝试在被入侵的主机上建立持久化，通过一个面向互联网的应用程序中的缺陷获取其中一个AWS账户的访问密钥。每次获得新访问权限后，都会进行新一轮的枚举、额外的密钥收集、通过创建访问密钥和IAM用户实现持久化尝试，以及数据外泄。同时，多个由攻击者创建的文件被伪装成渗透测试或红队演练活动。

Sygnia最后指出："其意义不在于AI引入了新的攻击技术，因为观察到的每个操作都映射到了长期存在的对手行为，而在于AI减少了在复杂环境中将这些技术落地所需的时间和精力。"