Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Wykorzystanie generatywnej sztucznej inteligencji w cyberprzestępczości wchodzi w nową fazę. Opisany incydent pokazuje, że atakujący mogą używać modeli językowych do szybkiego tworzenia jednorazowych narzędzi ofensywnych, dostosowanych do konkretnego środowiska i konkretnego etapu operacji. W tym przypadku chodzi o niestandardowy skrypt PowerShell użyty do rekonesansu Active Directory, czyli rozpoznania struktury domeny, użytkowników, komputerów, grup, jednostek organizacyjnych oraz relacji zaufania.
To ważna zmiana z perspektywy obrony. Zamiast korzystać wyłącznie z publicznie znanych frameworków i narzędzi, napastnicy mogą tworzyć nowe skrypty na bieżąco, co ogranicza skuteczność detekcji opartej tylko na sygnaturach, hashach i reputacji plików.
W skrócie
- Atakujący uzyskał dostęp RDP do serwera Windows i uruchomił autorski skrypt PowerShell zapisany jako
Untitled1.ps1. - Skrypt posłużył do szybkiej enumeracji środowiska Active Directory oraz zapisania wyników do plików CSV i raportu HTML.
- Analiza wykazała cechy typowe dla kodu wygenerowanego z pomocą AI, w tym nadmiarowe mechanizmy awaryjne i pozostawiony placeholder konfiguracyjny.
- Po rekonesansie wdrożono także legalne narzędzia, które mogły zostać wykorzystane do dalszej enumeracji i potencjalnej eksfiltracji danych.
Kontekst / historia
Incydent został odtworzony przez analityków podczas działań reagowania na incydent po zdarzeniu z 3 czerwca 2026 roku. Napastnik uzyskał interaktywny dostęp do serwera domenowego Windows, prawdopodobnie z użyciem wcześniej skompromitowanych poświadczeń, a następnie przygotował narzędzia w katalogu C:\ProgramData. W ciągu kilku minut od rozpoczęcia sesji uruchomiono skrypt rekonesansowy mający na celu zmapowanie struktury domeny.
Sam schemat działania nie był nowy. To klasyczny model szybkiego wejścia do środowiska, agresywnego rekonesansu, przygotowania danych i przejścia do kolejnych etapów operacji. Nowym elementem okazał się sposób przygotowania narzędzia, które wyglądało na wygenerowane iteracyjnie z użyciem AI, zamiast pobrane z publicznego repozytorium lub znanego zestawu ofensywnego.
Analiza techniczna
Skrypt Untitled1.ps1 został zrekonstruowany na podstawie telemetryki PowerShell, w tym logów Script Block Logging oraz zdarzeń z identyfikatorem 4104. To istotne, ponieważ pokazuje, że nawet wcześniej niewidziane, niestandardowe skrypty mogą zostać odzyskane i przeanalizowane, jeśli organizacja ma prawidłowo skonfigurowane logowanie.
Badacze wskazali kilka mocnych przesłanek sugerujących wykorzystanie modelu językowego do stworzenia kodu. Wewnętrzny tytuł skryptu brzmiał „100% Working AD Information Gathering Script – FULLY FIXED”, co przypomina efekt wielokrotnego poprawiania kodu po kolejnych błędach wykonania. Dodatkowo narzędzie stosowało rozbudowany, pięcioetapowy mechanizm wyszukiwania kontrolera domeny: przez DNS, nltest, moduł Active Directory, zmienne środowiskowe oraz zakodowaną na stałe wartość zapasową.
Szczególnie wymowny był pozostawiony w kodzie placeholder kontrolera domeny: Server1.HR.local. Taki artefakt sugeruje, że wygenerowany przykład został skopiowany i użyty bez pełnego dostosowania do środowiska ofiary. To z kolei wskazuje, że skuteczne przygotowanie podobnego narzędzia nie wymagało zaawansowanych umiejętności programistycznych, a raczej umiejętności iteracyjnego formułowania promptów i testowania rezultatów.
Po ustaleniu kontrolera domeny skrypt przechodził do intensywnej enumeracji Active Directory. Tworzył katalog roboczy w formacie C:\AD_Reports_<datetime>, następnie eksportował dane dotyczące użytkowników, komputerów, grup, jednostek OU, podsieci, trustów oraz kont z adresami e-mail do zestawu plików CSV. Generował również plik AD_Report.html, który podsumowywał skuteczność rekonesansu, a na końcu pakował całość do archiwum ZIP.
Po około 30 minutach od uruchomienia skryptu napastnik wdrożył s5cmd.exe, czyli legalne narzędzie wiersza poleceń dla Amazon S3, które bywa nadużywane do przesyłania danych poza organizację. Następnie wykorzystano także SharpShares.exe do dalszego wyszukiwania udziałów sieciowych i innych dostępnych repozytoriów danych.
Konsekwencje / ryzyko
Największe zagrożenie nie wynika wyłącznie z samego PowerShella czy Active Directory, lecz z obniżenia progu wejścia dla cyberprzestępców. Generatywna AI umożliwia tworzenie jednorazowych, niestandardowych narzędzi, które nie występują wcześniej w bazach IOC, nie mają znanych hashy i mogą ominąć mechanizmy wykrywania oparte na reputacji pliku.
Dla zespołów SOC oznacza to spadek skuteczności detekcji statycznej. Jeśli napastnik zamiast popularnego frameworka wdraża nowy skrypt stworzony specjalnie na potrzeby jednej operacji, klasyczne mechanizmy oparte na znanych próbkach stają się mniej użyteczne. Nie zmienia się jednak istota ataku: rekonesans AD nadal wymaga zapytań do katalogu, eksportu wyników, tworzenia plików pośrednich, pakowania danych i użycia kanału eksfiltracji.
Ryzyko operacyjne jest szczególnie wysokie w środowiskach, w których dostęp RDP jest zbyt szeroki, poświadczenia uprzywilejowane nie są odpowiednio chronione, logowanie PowerShell nie jest w pełni włączone, a korelacja zdarzeń związanych z masową enumeracją i przygotowaniem danych do wyprowadzenia praktycznie nie istnieje.
Rekomendacje
Organizacje powinny przesunąć nacisk z detekcji sygnaturowej na analitykę behawioralną. Kluczowe jest monitorowanie sekwencji działań, a nie tylko identyfikacja konkretnej próbki.
- Włączyć i centralizować logowanie PowerShell, w szczególności Script Block Logging oraz zdarzenia z kanału
Microsoft-Windows-PowerShell/Operational. - Wykrywać nietypową enumerację Active Directory, zwłaszcza seryjne zapytania dotyczące użytkowników, grup, komputerów, OU i relacji zaufania.
- Monitorować tworzenie masowych eksportów CSV, katalogów stagingowych i archiwów ZIP na serwerach.
- Zaostrzyć kontrolę użycia RDP poprzez MFA, ograniczenia adresów źródłowych i segmentację dostępu administracyjnego.
- Ograniczyć uruchamianie nieautoryzowanych skryptów PowerShell z użyciem polityk wykonania, AppLocker lub WDAC.
- Analizować wykorzystanie legalnych narzędzi, które mogą zostać użyte do eksfiltracji danych.
- Wzmocnić ochronę poświadczeń i skrócić czas reakcji na oznaki użycia skompromitowanych kont.
Warto także rozwijać playbooki IR pod kątem tak zwanego „vibe-coded malware”, czyli narzędzi tworzonych dynamicznie przez AI. Nawet jeśli taki kod wygląda niespójnie lub nieprofesjonalnie, może być wystarczająco skuteczny, by wesprzeć realną operację intruza.
Podsumowanie
Opisany incydent potwierdza, że sztuczna inteligencja nie musi całkowicie zmieniać technik ataku, aby istotnie zwiększać skuteczność przeciwnika. Wystarczy, że przyspiesza tworzenie niestandardowych narzędzi do rekonesansu, utrudniając wykrywanie oparte na sygnaturach i hashach.
Dla obrońców najważniejsza lekcja jest jasna: trzeba wykrywać zachowania, a nie tylko próbki. AI może zmieniać składnię kodu i formę narzędzia, ale nie usuwa całego śladu operacyjnego związanego z rekonesansem domeny, przygotowaniem danych i próbą ich wyprowadzenia poza organizację.
Źródła
- Security Affairs — https://securityaffairs.com/195321/hacking/attacker-used-ai-to-build-custom-powershell-recon-malware.html
- Huntress — Analyzing AI-Augmented Network Enumeration — https://www.huntress.com/blog/ai-coded-malware-vibe-coding-active-directory
- Microsoft Learn — about PowerShell Script Block Logging — https://learn.microsoft.com/en-us/powershell/module/microsoft.powershell.core/about/about_logging_windows