AI赋能钓鱼：暴露服务器揭开WebDAV恶意软件背后的自动化攻击工具包

🔍 High 其他

Rapid7发现一个攻击者将开发服务器完全暴露在公网，并从中提取了包含1048个文件的完整钓鱼工具包。该工具包利用生成式AI加速开发，通过WebDAV工作目录劫持漏洞（CVE-2025-33053）向墨西哥用户投递信息窃取器，伪装成政府ID查询页面。攻击者还使用了开源AI编码助手Coderrr来编写测试文档、生成钓鱼模板，并保留了一个默认凭据未改的管理面板。

来源：The Hacker News | 2026-07-20 | 原文链接

🔍 关键发现

• 攻击者暴露了完整开发环境，包含1,048个文件，涵盖诱饵模板、文件名欺骗测试、执行实验、dropper、构建笔记及两个活动链。
• 核心利用CVE-2025-33053（CVSS 8.8，已在CISA KEV目录）——通过.url快捷方式启动合法签名二进制，将工作目录指向攻击者控制的WebDAV共享，加载恶意代码，绕过SmartScreen和Mark-of-the-Web。
• 攻击者使用开源AI编码工具Coderrr生成文档、测试用例和钓鱼页面JavaScript，其输出带有LLM特有的模板化格式、冗长文本和表情符号结构。

⚔️ 攻击链分析

1. 受害者访问typosquat域名gobf[.]mx（伪装成墨西哥政府CURP身份证查询网站）； 2. 点击伪造的“下载报告”按钮后触发search-ms:协议，打开攻击者控制的WebDAV共享，显示过滤为.scr文件； 3. 受害者下载看似PDF的.scr可执行文件（利用RTLO反转文件名）； 4. 该文件是Inno Setup安装器，释放内存加载器，将.NET infostealer注入签名的奇虎360进程，窃取加密货币钱包、浏览器凭据、会话Cookie和Telegram会话。

🚩 失陷指标 (IOC)

• gobf[.]mx（伪冒政府域名的钓鱼站点）
• summerartcamp[.]net:443@DavWWWRoot（用作WebDAV共享的C2）
• C2地址：待从Rapid7 GitHub获取（原文未完整列出，但提及已发布）
• 文件哈希：待从Rapid7 GitHub获取

🛡️ 缓解建议

• ✅ 及时安装微软2025年6月针对CVE-2025-33053的安全更新，并关注其他可能受影响的签名二进制（共59个测试目标）。
• ✅ 监控WebClient服务启动及davclnt.dll对外连接，以及合法签名二进制从WebDAV/UNC路径启动子进程的行为。
• ✅ 警惕文件名中使用右到左覆盖符（U+202E）、双重扩展名或.exe/.scr前的填充字符；对通过search-ms:协议启动的下载保持警觉。

涉及漏洞：[]

⚠️ 本文仅供安全研究与学习，IOC 信息请勿用于非法目的。