Kẻ tấn công dùng PowerShell nghi do AI để lập bản đồ Active Directory qua RDP
"Researchers reported an intrusion where an attacker used a suspected AI-generated PowerShell script to enumerate Active Directory on a domain-joined Windows Server accessed via RDP with compromised credentials. The script mapped users, computers, groups, OUs, trusts, and domain controllers, then the attacker staged additional tools, collected data into CSV/HTML reports, archived it, and exfiltrated the results; no CVE was involved. The article also notes a separate AI-assisted AWS intrusion pattern that used familiar cloud techniques for rapid discovery, persistence, and exfiltration."
Tác động chính nằm ở việc AD enumeration nhanh và mở rộng sang thu thập dữ liệu để exfiltration. Điểm đáng chú ý gồm lạm dụng PowerShell để trinh sát, RDP với credential bị lộ để khởi đầu, và xuất CSV/HTML phục vụ đánh cắp dữ liệu.
Nguy cơ vận hành là làm lộ cấu trúc và quyền trong AD, đồng thời có thể dẫn tới mất dữ liệu và gián đoạn nếu kẻ tấn công mở rộng sang công cụ/khả năng khác. Tác động kinh doanh phụ thuộc mức độ phạm vi domain và tốc độ kẻ tấn công trong giai đoạn thu thập.
Các nhà nghiên cứu ghi nhận một vụ xâm nhập trong đó kẻ tấn công sử dụng một PowerShell script nghi do AI tạo để enumerate Active Directory (AD). Theo mô tả, kịch bản được chạy sau khi kẻ tấn công thiết lập quyền truy cập RDP vào một Windows Server đã gia nhập domain bằng thông tin đăng nhập bị lộ. Thời điểm xảy ra được cho là đầu tháng 6/2026.
Script tập trung vào việc tìm Domain Controller (DC) và sau đó lập bản đồ các đối tượng AD như users, computers, groups, OUs, trusts. Sau khi thu thập, dữ liệu được xuất ra nhiều tệp, tạo AD_Report.html để đánh giá kết quả. Kẻ tấn công cũng staging công cụ trong thư mục C:\ProgramData\, sau đó triển khai thêm các công cụ hợp pháp để mở rộng trinh sát và thu thập dữ liệu.
Khoảng 30 phút sau, kẻ tấn công dùng s5cmd và SharpShares để tìm kho dữ liệu có thể truy cập, rồi tổng hợp thành CSV/HTML, nén và exfiltrate về máy chủ từ xa. Không có CVE được nêu trong báo cáo.
Bên cạnh đó, một báo cáo khác cho thấy các cuộc tấn công hỗ trợ bởi AI trên AWS vẫn dựa trên kỹ thuật quen thuộc, nhưng được tăng tốc nhờ tự động hóa discovery, thu thập secrets, thiết lập persistence và gây tác động trong thời gian ngắn.