暴露的服务器揭露 WebDAV 恶意软件活动背后的 AI 辅助钓鱼工具包

导语：Rapid7 在一台被暴露的投递服务器上完整取下一个 LLM 辅助开发的钓鱼工具包：1,048 个文件还原出 AI 加速的攻击流水线，其中一条已对墨西哥 Windows 用户实施。

一个恶意软件运营者的投递服务器被暴露在公网上，Rapid7 取下了其整套工具包：共 1,048 个文件，涵盖诱饵模板、文件名欺骗测试、执行实验、投放器、构建笔记以及两条攻击链。其中一条已对墨西哥的 Windows 用户实际运行，通过一个伪造的政府身份证查询网站经 WebDAV 投递信息窃取程序。

这不仅仅是一批载荷转储：调查在运营者仍在开发的过程中抓到了现场。测试笔记、失败的实验、文档以及实时投递日志都集中在一处——这是防御者很少见到的完整开发轨迹。Rapid7 解读这些工件——包括一条指向某开源 AI 编码工具的硬编码路径——认为该运营者正在使用生成式 AI 来高速生成、测试和文档化钓鱼投递流程。

最为成熟的测试集聚焦于 CVE-2025-33053（CVSS 8.8，现已收录于 CISA 的 KEV 目录），即 Check Point 在去年 Stealth Falcon 报告中记录的 WebDAV 工作目录劫持漏洞。该运营者似乎在复现这一技术：该技术滥用 .url 快捷方式启动合法的已签名 Windows 二进制，同时将其工作目录指向攻击者控制的 WebDAV 共享。在原始攻击中，快捷方式启动 iediagcmd.exe——一款通过裸文件名启动 route.exe 等辅助程序的 IE 诊断工具；当工作目录指向远程共享时，Windows 从 WebDAV 加载攻击者的 route.exe，而非 System32 中的真实文件。

运营者自己的 README 声称该方案运行时不带 SmartScreen 或 Mark-of-the-Web 警告，"没有任何安全警告，零告警！"Microsoft 已于 2025 年 6 月修补该漏洞。这些笔记与 Check Point 的报告高度吻合，其中一个被恢复的 README 甚至保留了原始报告中 summerartcamp[.]net@ssl@443\DavWWWRoot\OSYxaOjr 的示例路径。随后运营者将测试规模化。

一个"综合测试套件"将这一单一技术扩展为 59 个针对其他已签名二进制的 .url 文件：.NET 工具如 InstallUtil 与 RegAsm、LOLBAS 条目甚至 UAC 绕过候选，每个都附有为何劫持应能生效的文字理论以及分层测试顺序。这些笔记将其视为逐个探测的候选，而非已确认的劫持方案；运营者构建该套件有具体原因：原始手法在 Windows 11 24H2 上失效，因为 Internet Explorer（以及 iediagcmd.exe）已不复存在。同一目录下还有针对另外两个文件处理缺陷的小型测试集——MSHTML 绕过漏洞 CVE-2026-21513 和 NTLM 泄漏漏洞 CVE-2025-24054——但 WebDAV 劫持才是重头戏。

关键线索在文档中。Rapid7 表示，README、诱饵生成指南、矩阵式测试报告以及将每个测试文件映射到目标二进制的 _MAPPING.csv，都带有其认为与 LLM 输出相符的模板化格式、冗长表述和大量 emoji 结构。它以同样方式解读钓鱼站点中充满 emoji 的 JavaScript。俄语注释和文件夹名（一个名为 testik，即 "test" 的指小形式）将运营者定位在俄语语境中，但并未识别其身份。Rapid7 将该行动归因于 LLM 辅助工作流，可能借助 Coderrr（其拼写为 "CodeRRR"）构建。

The Hacker News 确认，截至 2026 年 7 月 20 日该代码仓库为公开状态：这是一款受 Claude Code、GitHub Copilot CLI 和 Cursor 启发的通用开源 AI 编码智能体，并非攻击者专用工具。Rapid7 的总结很直接："攻击者使用 LLM 后，操作模式更像一个现代化的软件开发产品团队。"运营者甚至将投递面板——一个名为 Simba Service 的管理工具——留在了同一服务器上，端口和默认凭据均未更改。

MDR 告警追溯至 gobf[.]mx——这是政府 CURP 国民身份证查询服务的仿冒域名。受害者被提供一个伪造的记录检索页面，其下载按钮触发 search-ms: 查询，以 Windows 资源管理器的搜索视图打开运营者的 WebDAV 共享，并筛选 .scr 文件。

投递量最大的诱饵看起来像 CURP PDF 报告，实为 .scr 可执行文件，文件名通过从右到左覆盖字符（RLO）翻转以呈现为 PDF 外观。它是一个 Inno Setup 安装包，解包后加载一个加载器，在内存中完全运行一个 .NET 信息窃取程序，并通过进程镂空注入到一个已签名的 Qihoo 360 进程中。

在约 5.5 天（2026 年 6 月 20 日至 26 日 UTC）内，投递面板记录了来自 101 个国家、3,892 个独立 IP 的 77,098 次请求，仅墨西哥就贡献了 82.5% 的流量和 96.9% 的启动活动。单个 CURP 诱饵占 2,441 次启动事件中的 2,384 次，约 97.7%。该数字衡量的是投递触达范围而非感染数：Rapid7 将"启动事件"定义为面板观察到客户端请求或从共享打开可执行文件，而非终端上的确认运行；来自美国和德国的流量更像扫描活动而非受害者。该公司向 The Hacker News 表示，其对实际感染情况并无可见性，因此无法确认真实的失陷数量。活动同时集中在墨西哥的工作时间段，符合真实用户而非自动化扫描器的特征。

对防御者而言，2025 年 6 月的补丁已封堵原始 iediagcmd.exe 路径，但 59 个文件的测试套件表明该运营者正在搜寻行为相同的其他已签名二进制。Rapid7 已在 GitHub 上发布了两个活动的指标，包括 C2 地址和文件哈希，建议首先予以封锁。