Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Publicznie dostępna, nieprawidłowo zabezpieczona infrastruktura przestępcza może stać się dla analityków wyjątkowo cennym źródłem wiedzy o pełnym cyklu operacji. W tym przypadku ujawniony serwer pozwolił odtworzyć nie tylko gotową kampanię phishingową, ale również jej zaplecze techniczne, proces testowania oraz sposób rozwijania narzędzi przez operatorów.
Analiza wskazuje, że atakujący łączyli phishing, nadużycie mechanizmów WebDAV, maskowanie nazw plików oraz legalne, podpisane komponenty systemu Windows. Dodatkowo artefakty pozostawione na serwerze sugerują, że generatywna sztuczna inteligencja była wykorzystywana jako akcelerator tworzenia kodu, dokumentacji i scenariuszy testowych.
W skrócie
- Badacze odzyskali ponad tysiąc plików związanych z przygotowaniem i prowadzeniem kampanii.
- Jedna z operacji podszywała się pod usługę wyszukiwania identyfikatora CURP i była wymierzona głównie w użytkowników w Meksyku.
- Łańcuch ataku wykorzystywał WebDAV, pliki skrótów oraz ukrywanie rzeczywistego rozszerzenia pliku.
- Końcowy ładunek obejmował infostealera działającego w pamięci oraz alternatywny wariant z modułowym RAT-em.
- Zebrane materiały wskazują na wykorzystanie AI do przyspieszenia rozwoju kampanii i testowania nowych wariantów.
Kontekst / historia
Rdzeń analizowanego scenariusza był powiązany z techniką opisywaną w kontekście CVE-2025-33053, związaną z przejęciem katalogu roboczego przez WebDAV. W praktyce chodziło o uruchomienie zaufanego, podpisanego binarium Windows w taki sposób, aby korzystało ono ze zdalnego zasobu kontrolowanego przez napastnika.
To podejście pozwalało na użycie legalnego procesu jako pośrednika do uruchomienia złośliwego pliku. Co ważne, operatorzy nie ograniczali się do jednego znanego schematu. Na serwerze znaleziono liczne eksperymenty z plikami .url, różnymi podpisanymi binariami systemowymi oraz technikami z kategorii LOLBAS, co sugeruje systematyczne poszukiwanie skutecznych obejść dla nowszych wersji Windows.
Znalezisko miało szczególną wartość operacyjną, ponieważ obejmowało nie tylko próbki malware, ale też instrukcje, README, notatki projektowe i artefakty testowe. Dzięki temu możliwe było lepsze zrozumienie dojrzałości i metodyki działania operatora.
Analiza techniczna
Najbardziej rozwinięta kampania wykorzystywała domenę podszywającą się pod rządowy serwis związany z wyszukiwaniem CURP. Ofiara widziała interfejs sugerujący pobranie raportu, jednak kliknięcie prowadziło do uruchomienia zapytania search-ms:, które otwierało zasób WebDAV napastnika w Eksploratorze Windows.
Istotnym elementem socjotechniki było maskowanie prawdziwego typu pliku. Dzięki mechanizmowi right-to-left override złośliwy plik wykonywalny mógł wyglądać jak dokument PDF. Po uruchomieniu użytkownik aktywował instalator Inno Setup, który rozpakowywał loader i wstrzykiwał komponent .NET działający wyłącznie w pamięci.
Analiza wskazała również na użycie process hollowing do podpisanego procesu Qihoo 360 w celu utrudnienia detekcji. Wśród funkcji infostealera znalazły się kradzież danych z przeglądarek, ciasteczek sesyjnych, portfeli kryptowalut oraz sesji Telegrama.
Badacze natrafili także na drugi łańcuch dostarczania, w którym użyto sideloadingu złośliwej biblioteki DLL z wykorzystaniem podpisanego binarium Ubisoft. W tym wariancie celem było dostarczenie modułowego RAT-a opartego na platformie .NET.
Na uwagę zasługuje również jakość materiałów pomocniczych. Struktura dokumentacji, sposób formatowania oraz obfitość szablonowych treści sugerują użycie modeli językowych do generowania instrukcji, opisów i scenariuszy testowych. AI nie pełniła tu roli osobnego malware, lecz narzędzia przyspieszającego iterację kampanii.
Na tym samym serwerze pozostawiono panel administracyjny obsługujący dostarczanie ładunków. Logi z tego panelu pozwoliły oszacować aktywność kampanii na dziesiątki tysięcy żądań w ciągu kilku dni, przy dominującym udziale ruchu powiązanego z Meksykiem.
Konsekwencje / ryzyko
Najpoważniejsze zagrożenie wynika z połączenia skutecznej socjotechniki, wykorzystania legalnych komponentów systemowych oraz automatyzacji pracy operatora dzięki AI. Taki model obniża koszt przygotowania ataków i pozwala szybciej dostosowywać kampanie do zmian w zabezpieczeniach oraz aktualizacjach systemu.
Dla organizacji oznacza to, że tradycyjne filtrowanie załączników może być niewystarczające, jeśli złośliwy ładunek jest dostarczany przez zdalny zasób WebDAV. Dodatkowo użycie podpisanych binariów jako pośredników utrudnia detekcję opartą wyłącznie na reputacji procesu.
Ryzyko nie kończy się na pojedynczej infekcji. Skradzione dane uwierzytelniające, sesje przeglądarek, tokeny komunikatorów i dane z portfeli kryptowalut mogą zostać wykorzystane do dalszych włamań, oszustw finansowych oraz wtórnych kampanii phishingowych.
Rekomendacje
Organizacje powinny zadbać o pełne aktualizowanie systemów Windows, szczególnie w obszarze poprawek ograniczających znane ścieżki nadużycia WebDAV i powiązanych mechanizmów uruchamiania. Sama aktualizacja nie rozwiązuje jednak całości problemu, ponieważ operator testował również inne podpisane binaria i alternatywne warianty obejścia.
Po stronie monitoringu warto wdrożyć detekcje obejmujące następujące zachowania:
- nietypowe uruchamianie usługi WebClient,
- połączenia realizowane przez davclnt.dll do zdalnych hostów,
- przypadki, w których podpisane binarium uruchamia proces potomny z użyciem ścieżki WebDAV lub UNC,
- pliki .scr, .exe i .url maskowane przez RTLO, podwójne rozszerzenia lub nietypowe nazewnictwo,
- process hollowing oraz in-memory execution w zaufanych procesach.
Warto również ograniczać otwieranie podejrzanych odwołań search-ms:, kontrolować dostęp do zewnętrznych udziałów WebDAV oraz monitorować domeny typosquattingowe podszywające się pod serwisy publiczne i komercyjne. Skuteczna może być korelacja telemetryczna między kliknięciem przynęty, otwarciem zasobu zdalnego i uruchomieniem nowego procesu potomnego.
W obszarze świadomości użytkowników należy podkreślać ryzyko związane z fałszywymi dokumentami PDF, znakami odwracającymi kierunek tekstu w nazwie pliku oraz pobieraniem raportów z witryn podszywających się pod instytucje publiczne. Zespoły SOC i threat hunting powinny dodatkowo uwzględniać opublikowane wskaźniki kompromitacji, takie jak hashe, infrastruktura C2 i artefakty panelu dostarczania.
Podsumowanie
Ujawniony serwer pokazał, że współczesne kampanie malware są coraz bardziej uprzemysłowione i elastyczne. Operatorzy połączyli phishing, WebDAV, nadużycie podpisanych binariów Windows, ukrywanie rozszerzeń oraz wsparcie generatywnej AI, tworząc skuteczny i skalowalny model ataku.
Dla obrońców kluczowa lekcja jest prosta: skuteczna detekcja nie może skupiać się wyłącznie na pojedynczych próbkach malware. Równie istotne jest monitorowanie całego wzorca zachowań, obejmującego zdalne ścieżki wykonywania, pliki .url, zasoby WebDAV i nadużycia zaufanych procesów.
Źródła
- The Hacker News — Exposed Server Reveals AI-Assisted Phishing Toolkit Behind WebDAV Malware Campaign — https://thehackernews.com/2026/07/exposed-server-reveals-ai-assisted.html
- Rapid7 — Analysis of exposed phishing and malware infrastructure — https://www.rapid7.com/
- NVD — CVE-2025-33053 — https://nvd.nist.gov/vuln/detail/CVE-2025-33053
- CISA KEV Catalog — Known Exploited Vulnerabilities — https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- Check Point Research — Technical reporting on WebDAV working-directory hijack — https://research.checkpoint.com/