Rapid7 研究團隊近日分享一則入侵偵測與應變（Managed Detection and Response，MDR）案例，追查到一台遭攻擊者遺留、對外暴露的交付伺服器，取得完整攻擊工具組，內含 1,048 個檔案，涵蓋誘餌範本、檔名偽裝測試、投遞程式與建構筆記。這批工件完整記錄攻擊者從測試到文件撰寫的開發歷程，並意外揭露攻擊者疑似運用生成式 AI工具，加速攻擊活動的產製與測試流程。
AI 輔助開發歷程曝光
Rapid7 在工件中發現一段指向開源 AI 編碼工具的硬式編碼路徑（hardcoded path），研判攻擊者可能使用開源 AI 編碼代理程式CodeRRR 協助開發，此工具為通用型合法開發工具，並非攻擊者專屬打造。README 文件、誘餌生成指南與整理測試對應關係的 _MAPPING.csv 檔案，皆呈現典型大型語言模型（LLM）輸出特徵：範本化格式、大量表情符號與冗長說明文字。工具組中同時出現俄文註解與「testik」（俄語「測試」暱稱）命名的資料夾，顯示攻擊者可能處於俄語語境，但 Rapid7 強調現有工件仍不足以識別具體身分。研究人員也發現，攻擊者用來管理投遞流程的後台管理面板，其預設連接埠與帳密設定均未經調整便直接暴露，這項維運疏漏讓整套開發歷程得以被完整還原。
CVE-2025-33053：WebDAV 劫持技術原理
測試最完整的項目聚焦於 CVE-2025-33053（CVSS 8.8，已列入 CISA KEV 目錄），此為 WebDAV 工作目錄劫持漏洞，Check Point 曾於 Stealth Falcon 攻擊報告記錄，Microsoft 已於 2025 年 6 月修補。技術原理是透過 .url 捷徑啟動合法已簽署的 Windows 二進位檔，並將其工作目錄指向攻擊者控制的 WebDAV 共享；由於目標程式以裸檔名呼叫輔助程式，Windows 便可能改從 WebDAV 共享載入攻擊者提供的同名替換檔。由於啟動點為合法簽署檔案，傳統簽章驗證機制較難即時攔截。
59 檔案測試套件系統化尋找替代路徑
原始 iediagcmd.exe 手法因 Windows 11 24H2 移除 Internet Explorer 而失效，攻擊者遂建置涵蓋 59 個 .url 檔案的測試套件，測試 InstallUtil、RegAsm 等 .NET 工具、離地攻擊二進位檔（Living Off the Land Binaries，LOLBAS），以及使用者帳戶控制（User Account Control，UAC）繞過候選工具，並附帶分層測試順序。測試目錄中也包含驗證 MSHTML 繞過漏洞 CVE-2026-21513 與 NTLM 洩漏漏洞 CVE-2025-24054 的較小測試集，顯示測試方法與 AI 輔助文件呈現的特徵相互呼應，攻擊工具已超越概念驗證階段，具備可實際部署的完整度。
Rapid7 總結，攻擊者藉 AI 工具使運作模式趨近現代軟體產品團隊，具備版本化測試與系統化除錯機制，攻擊工具產製週期可能因此大幅縮短，過往仰賴人工撰寫、測試耗時的攻擊鏈開發流程，如今可能透過 AI 工具加速執行。研究團隊建議，防禦端除追蹤已知入侵指標（IoC）外，應優先確認 CVE-2025-33053 等 KEV 漏洞是否修補，並監控 WebClient 服務啟動、davclnt.dll 遠端連線，以及簽署二進位檔子程序映像路徑指向 WebDAV 或 UNC 共享等行為特徵。
延伸閱讀：Microsoft 推出 2025年6月 Patch Tuesday 每月例行更新修補包
防禦建議
微軟2025 年 6 月的修補程式已封堵原始的 iediagcmd.exe 路徑，但由 59 個檔案組成的測試套件顯示，攻擊者仍在尋找其他具備相同行為的已簽署二進位檔。Rapid7 也已在 GitHub 公布兩條攻擊活動鏈的入侵指標（IoC），包含 C2 位址與檔案雜湊值。
除封鎖已知 IoC 外，防禦方亦應監控以下行為特徵：
WebClient 服務啟動，且 davclnt.dll 連線至遠端主機；
已簽署二進位檔所產生的子程序，其映像路徑位於 WebDAV 或 UNC 共享；以及
檔名使用 RTLO 字元、雙重副檔名，或在 .exe／.scr 前加填充字元。
本文轉載自 TheHackerNews。