Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Badacze bezpieczeństwa ujawnili kampanię phishingową, w której operator pozostawił publicznie dostępny serwer z kompletnym zestawem artefaktów operacyjnych. Sprawa zwraca uwagę nie tylko ze względu na sam łańcuch infekcji, ale także dlatego, że pokazuje praktyczne wykorzystanie generatywnej sztucznej inteligencji do tworzenia, testowania i dokumentowania infrastruktury ataku.
W centrum incydentu znalazły się mechanizmy WebDAV, skróty internetowe systemu Windows oraz techniki nadużywające zaufanych binariów. Tego typu połączenie pozwala atakującym zwiększać skuteczność kampanii i utrudniać detekcję opartą wyłącznie na klasycznych wskaźnikach kompromitacji.
W skrócie
Na ujawnionym serwerze znajdowało się ponad tysiąc plików związanych z phishingiem, testami dostarczania malware i rozwojem narzędzi operatora. Najbardziej rozwinięta część infrastruktury dotyczyła testów wokół CVE-2025-33053, czyli podatności umożliwiającej zdalne wykonanie kodu przez manipulację ścieżką lub nazwą pliku w skrótach internetowych Windows.
Atakujący wykorzystywali fałszywą stronę podszywającą się pod usługę wyszukiwania dokumentów tożsamości w Meksyku. Końcowym ładunkiem był .NET-owy malware PureRAT, poprzedzony komponentami służącymi do kradzieży danych i przygotowania środowiska do dalszej kompromitacji.
Kontekst / historia
Kampania wpisuje się w szerszy trend nadużywania mechanizmów skrótów internetowych oraz udziałów zdalnych do uruchamiania kodu w środowisku Windows. Punktem odniesienia była wcześniej opisana technika związana z CVE-2025-33053, załataną przez Microsoft w czerwcu 2025 roku i później uwzględnioną w katalogu aktywnie wykorzystywanych podatności.
Istota problemu polega na tym, że odpowiednio przygotowany plik skrótu może doprowadzić do wykonania kodu z zasobu sieciowego. Wcześniejsze analizy wykazały, że możliwe jest uruchomienie podpisanego binarium Windows z katalogiem roboczym wskazującym na udział WebDAV kontrolowany przez napastnika, co stwarza okazję do załadowania zdalnego pliku wykonywalnego.
Nowo ujawnione materiały sugerują, że operatorzy nie ograniczyli się do prostego odtworzenia znanej techniki. Zamiast tego rozwijali ją, testowali na różnych binariach i dostosowywali do zmian w nowszych wersjach systemu.
Analiza techniczna
Najcenniejszym elementem incydentu był wgląd w pełny pipeline ataku. Na otwartym serwerze znaleziono szablony przynęt, testy spoofingu nazw plików, eksperymenty wykonawcze, droppery, dokumentację oraz logi aktywnej kampanii. Dla analityków zagrożeń to rzadka możliwość prześledzenia nie tylko gotowego malware, ale również procesu jego opracowania i walidacji.
Główny łańcuch infekcji wykorzystywał WebDAV w połączeniu z mechanizmem search-ms:. Ofiara trafiała na stronę phishingową, z której przycisk pobrania inicjował otwarcie zasobu WebDAV w Eksploratorze Windows. Następnie użytkownik widział plik wyglądający jak dokument PDF, choć w rzeczywistości był to wykonywalny plik .scr z ukrytą prawdziwą nazwą dzięki technice right-to-left override.
Taki plik pełnił rolę instalatora Inno Setup, który rozpakowywał loader i uruchamiał stealer w pamięci. Z dostępnych materiałów wynika, że w jednym ze scenariuszy używano process hollowing w podpisanym procesie Qihoo 360, co miało utrudnić wykrycie przez mechanizmy ochronne.
Operator rozbudował testy do wielu wariantów plików .url, sprawdzając różne podpisane binaria Windows i narzędzia klasy LOLBAS pod kątem przejęcia katalogu roboczego. Jest to istotne, ponieważ wcześniejsze ścieżki wykonania mogły tracić skuteczność w nowszych środowiskach, w tym w części konfiguracji Windows 11 24H2. W praktyce oznaczało to aktywne poszukiwanie zamienników pozwalających utrzymać skuteczność kampanii mimo łatania pojedynczych wektorów.
Analiza artefaktów wskazała również na prawdopodobne wykorzystanie narzędzi wspomagających programowanie i dokumentowanie pracy z użyciem AI. Świadczyły o tym m.in. uporządkowane README, szablonowe instrukcje testowe oraz charakterystyczny styl opisu działań. AI nie pełniła tutaj roli osobnego malware, lecz warstwy przyspieszającej rozwój kampanii, przygotowanie dokumentacji i generowanie kolejnych wariantów dostarczania.
Drugi zaobserwowany łańcuch ataku wykorzystywał sideloading złośliwej biblioteki DLL przez podpisane binarium Ubisoft. Oba scenariusze finalnie prowadziły do dostarczenia tego samego końcowego ładunku, czyli PureRAT.
Konsekwencje / ryzyko
Największe zagrożenie wynika z połączenia kilku trendów: znanych technik dostarczania, nadużycia legalnych komponentów systemu oraz wsparcia AI przy rozwoju kampanii. Dzięki temu atakujący mogą szybciej testować warianty, łatwiej dokumentować proces działania i sprawniej dostosowywać techniki do nowych wersji systemu.
Dla organizacji oznacza to, że tradycyjne podejście oparte wyłącznie na sygnaturach może być niewystarczające. Użycie WebDAV, search-ms:, podpisanych binariów i maskowania rozszerzeń utrudnia prostą detekcję, a jednocześnie zwiększa skuteczność socjotechniki wobec użytkowników końcowych.
Końcowe ładunki obserwowane w tej kampanii były ukierunkowane na kradzież portfeli kryptowalutowych, poświadczeń przeglądarek, plików cookie sesyjnych oraz sesji komunikatora Telegram. To wskazuje zarówno na motyw finansowy, jak i potencjał do dalszego przejmowania kont i prowadzenia wtórnych ataków.
Rekomendacje
Organizacje powinny potraktować tę kampanię jako sygnał ostrzegawczy, że samo łatanie pojedynczej podatności nie zawsze wystarcza. Potrzebne jest równoległe wzmacnianie detekcji behawioralnej, kontroli aplikacji i ochrony użytkowników przed phishingiem.
- Zweryfikować, czy systemy Windows posiadają poprawki eliminujące CVE-2025-33053.
- Monitorować uruchamianie usługi WebClient w nietypowych kontekstach.
- Analizować połączenia zdalne inicjowane przez
davclnt.dll. - Wykrywać uruchamianie podpisanych binariów z dziećmi procesów wskazującymi na ścieżki WebDAV lub UNC.
- Blokować lub ograniczać użycie
search-ms:w kampaniach e-mailowych i na stronach phishingowych. - Wyszukiwać pliki wykorzystujące RTLO, podwójne rozszerzenia i nietypowe maskowanie nazw.
- Monitorować oznaki process hollowing oraz in-memory execution w zaufanych procesach.
- Ograniczać możliwość pobierania i uruchamiania plików wykonywalnych z udziałów sieciowych.
- Rozwijać threat hunting wokół nadużyć LOLBAS, skrótów
.urli instalatorów Inno Setup uruchamianych w kontekście phishingowym.
W środowiskach o podwyższonym ryzyku uzasadnione może być również dodatkowe ograniczenie obsługi WebDAV tam, gdzie nie jest ona biznesowo potrzebna. Równolegle warto aktualizować feedy IOC i korelować je z telemetrią endpointów, poczty oraz ruchu sieciowego.
Podsumowanie
Ujawniony serwer dostarczył rzadkiego wglądu w pełny cykl życia współczesnej kampanii phishingowej: od dokumentacji i testów, przez infrastrukturę dostawczą, po aktywne łańcuchy infekcji. Najważniejszy wniosek jest taki, że generatywna AI nie musi tworzyć nowej klasy malware, aby realnie zwiększać poziom zagrożenia.
Wystarczy, że przyspiesza tworzenie przynęt, automatyzuje dokumentację i wspiera iteracyjne testowanie technik obchodzenia zabezpieczeń. Dla zespołów obronnych oznacza to konieczność szybszego łatania, głębszej analizy zachowań oraz większego nacisku na ochronę użytkowników przed zaawansowaną socjotechniką.
Źródła
- The Hacker News — Exposed Server Reveals AI-Assisted Phishing Toolkit Behind WebDAV Malware Campaign — https://thehackernews.com/2026/07/exposed-server-reveals-ai-assisted.html
- National Vulnerability Database — CVE-2025-33053 Detail — https://nvd.nist.gov/vuln/detail/CVE-2025-33053
- Check Point Research — Stealth Falcon’s Exploit of Microsoft Zero Day Vulnerability — https://research.checkpoint.com/2025/stealth-falcon-zero-day/
- CISA — Known Exploited Vulnerabilities Catalog — https://www.cisa.gov/known-exploited-vulnerabilities-catalog