Изследователи по киберсигурност сигнализираха за компрометиране, при което неизвестен злонамерен субект е използвал „vibe-coded“ (написан с помощта на AI) PowerShell скрипт за извличане на информация (enumeration) от Active Directory (AD).

„Скриптът търсеше домейновия контролер (DC) и картографираше потребители, компютри и домейни, преди да създаде директория и да експортира редица файлове, като накрая създаде AD_Report.html, за да измери успеха на опита за събиране на информация“, заявяват изследователите от Huntress Дживон Анг и Дрей Ага.

Веригата на атаката включва установяване на Remote Desktop Protocol (RDP) достъп от страна на нападателя до присъединен към домейна Windows Server с помощта на предварително компрометирани идентификационни данни, последвано от разполагане на инструментите в папка „C:\ProgramData\“. Инцидентът се е случил в началото на юни 2026 г.

Това включва и зловреден код (payload), генериран от изкуствен интелект (AI), за картографиране на Active Directory средата. Оценката се основава на различни издайнически белези, като например заглавието на итерацията на подканата (prompt), низове с контейнери за запълване (placeholders), прекалено усложнен код с множество методи за намиране на домейнов контролер и разкрасен изход в конзолата с помощта на синьо-зелен, зелен, червен и жълт цвят.

Huntress описват персонализирания PowerShell скрипт като „изключително агресивен“ и „шумен“, използващ „петстепенен каскаден резервен механизъм“ за разузнаване и откриване. Той е озаглавен „100% Working AD Information Gathering Script - FULLY FIXED“, което предполага многократен диалог с голям езиков модел (LLM).

След като бъде намерен основният домейнов контролер, скриптът стартира подпрограма за събиране на данни, която систематично извлича потребители, компютри, групи, организационни единици (OU) и доверителни връзки от AD и записва данните в междинна директория.

Около 30 минути по-късно нападателят е преминал към разполагане на s5cmd, легитимен инструмент за групови операции с файлове, заедно с SharpShares – инструмент на C# за извличане на споделени мрежови ресурси, за да търси достъпни за потребителите хранилища за данни.

В последната фаза данните се записват в CSV файлове, архивират се и се източват към отдалечен сървър, но не и преди да се създаде HTML файл, обобщаващ кражбата на данни под формата на доклад за инвентаризация на Active Directory.

„Вероятно това е 'полезно' допълнение от LLM-а, с което нападателят просто се е съгласил, вместо да го е планирал умишлено в скрипта“, обясняват изследователите.

Това развитие е поредният знак, че нападателите разширяват арсенала си със зловреден софтуер, генериран с помощта на AI модели, дори и технологията да не се злоупотребява по невиждани досега начини. Това, което се променя, е снижаването на бариерата за навлизане в киберпрестъпността, позволявайки на по-малко опитни участници да създават високоспособни инструменти за заобикаляне на защитите с минимални усилия.

„Основната верига на атаката все още прилича на изпитания и доказан сценарий за бързо проникване и кражба, който виждаме от години“, споделят от Huntress. „Тази ядрена методология остава непроменена, но сега се допълва селективно от AI. Този хибриден подход дава приоритет на агресията и скоростта пред анонимността, позволявайки на нападателите да провеждат силно разрушителни кампании по-бързо от всякога.“

В доклад, публикуван миналата седмица, Sygnia разкрива, че нападателите, подпомагани от AI, не се нуждаят непременно от нов зловреден софтуер или уязвимости от тип „нулев ден“ (zero-days), а същинската промяна се крие в това, че кибератаките могат да бъдат организирани със скорост и мащаб, по-бързи и по-големи от възможностите на защитниците да ги овладеят.

Компанията за реагиране на инциденти заяви, че е наблюдавала облачна атака с помощта на AI, която е прогресирала от първоначален достъп до пълно компрометиране в рамките на около 72 часа срещу голяма среда, базирана на Amazon Web Services (AWS). Крайната цел на дейността се оценява като финансово мотивирана, като нападателят е използвал достъпа до облачната инфраструктура на жертвата за изнудване.

„Нападателят многократно е използвал новопридобити идентификационни данни, за да рестартира процесите по откриване, събиране на тайни, персистентност и въздействие“, се казва в доклада. „Атаката разчиташе на познати облачни техники, а не на нов зловреден софтуер или уязвимости от тип нулев ден.“

„Нападателят не е експлоатирал единична неправилна конфигурация; те са свързали слабости в приложни услуги, AWS ресурси, хранилища за изходен код, CI/CD процеси, компоненти на средата за изпълнение и хранилища за данни, като същевременно бързо са извършвали откриване на идентификационни данни, събиране на тайни, картографиране на облака, злоупотреба с тръбопроводи за внедряване, модификация на средата за изпълнение, достъп до бази данни и прекъсване на операциите.“

Нападателят, според Sygnia, е извършил многократни опити за установяване на персистентност (трайно присъствие) върху компрометираните хостове, получавайки ключа за достъп до един от AWS акаунтите чрез пропуски в приложение с публичен достъп в интернет. Всеки нов достъп е бил последван от ново събиране на информация, допълнително събиране на тайни, опити за поддържане на достъп чрез създаване на ключове и IAM потребители, както и източване на данни. В същото време няколко създадени от нападателя артефакти са били маскирани като упражнение за проникване (pentest) или дейност на червен екип (red teaming).

За да окаже допълнителен натиск върху жертвите, нападателят е извършил поредица от действия, включително ограничаване на ECS услугите или контейнерите до определен максимален капацитет.