AI生成PowerShell侦察木马：攻击者用大模型定制AD枚举工具
Security Affairs 报道称，Huntress 发现攻击者利用 AI 生成自定义 PowerShell 侦察木马用于 Active Directory 枚举。脚本名为 Untitled1.ps1，具有五种 DC 发现方法、硬编码占位符及 AI 添加的 HTML 报告。攻击者通过 RDP 凭证入侵，随后使用 s5cmd.exe 窃取 S3 数据。传统签名检测失效，需依赖行为日志与 PowerShell 脚本块监控。
🔍 High 其他
Huntress在事件响应中发现攻击者利用AI生成自定义PowerShell脚本，对受害Windows服务器的Active Directory进行深度侦察。该脚本具有AI典型特征：五种DC发现方法、硬编码占位符及不必要的HTML报告。攻击链通过RDP凭证滥用进入，30分钟后使用s5cmd.exe和SharpShares.exe提取数据，传统签名检测完全失效。
来源：Security Affairs | 2026-07-14 | 原文链接
🔍 关键发现
- 脚本文件名为Untitled1.ps1，内部标题“100% Working AD Information Gathering Script – FULLY FIXED”是AI迭代输出的典型标志
- 脚本包含5种独立方法定位域控制器，并硬编码了占位符Server1.HR.local，攻击者未修改
- AI主动生成了HTML摘要报告，超出了攻击者原始需求，属于LLM的“多余帮助”
- 攻击者30分钟内先后使用s5cmd.exe和SharpShares.exe进行数据窃取，实现了快速smash-and-grab
⚔️ 攻击链分析
1. 使用预盗取的凭证通过RDP访问目标Windows Server；2. 在C:\ProgramData放置工具；3. 运行AI生成的AD侦察脚本（Untitled1.ps1），收集用户/计算机/组/OU等信息并导出CSV及HTML报告；4. 约30分钟后执行s5cmd.exe窃取Amazon S3数据，再用SharpShares.exe扫描额外共享
🚩 失陷指标 (IOC)
文件名: Untitled1.ps1（一次性，无固定哈希）PowerShell脚本块日志Event ID 4104中出现疑似AI生成的完整AD枚举代码异常使用s5cmd.exe进行S3数据下载（合法命令行工具但非常规操作）SharpShares.exe在非预期环境中运行
🛡️ 缓解建议
- ✅ 启用并监控PowerShell脚本块日志（Event ID 4104），对一次性、未签名的庞大脚本进行告警
- ✅ 限制RDP访问，实施多因素认证（MFA）并遵循最小权限原则，定期清理闲置凭证
- ✅ 对s5cmd.exe、awscli等云存储命令行工具的使用进行基线建模，异常流量触发告警
- ✅ 部署行为检测规则，识别短时间内大量LDAP查询、AD枚举及文件打包到C:\AD_Reports_的行为
涉及漏洞：[]
⚠️ 本文仅供安全研究与学习，IOC 信息请勿用于非法目的。
🤖 常见问题解答（FAQ）
❓ 如何检测AI生成的PowerShell脚本？
关注PowerShell脚本块日志（Event ID 4104），寻找异常长的脚本、硬编码示例域名（如Server1.HR.local）、过度冗余的DC发现方法以及不必要的HTML报告生成逻辑。
❓ 这次攻击中AI扮演了什么角色？
AI被用于快速生成定制化的AD侦察脚本，避免了从公开库下载已知工具，使传统哈希/签名检测失效。但底层攻击链仍是RDP+凭证滥用。
❓ 如何防御此类AI辅助的攻击？
重点不在识别AI，而在于监控行为模式：RDP异常登录、短时间内大量LDAP查询、PowerShell执行陌生脚本、随后云存储工具使用。