Máy chủ phân phối bị lộ tiết lộ bộ công cụ lừa đảo hỗ trợ AI trong chiến dịch WebDAV
"Rapid7 reported an exposed delivery server used in a WebDAV-based malware campaign that contained 1,048 files, including lure templates, testing notes, and campaign artifacts. The operator appeared to use AI-assisted tooling to build and document phishing delivery, while actively targeting Mexican users with a CURP-themed lure that delivered an infostealer; the main technical focus was CVE-2025-33053, with additional testing around CVE-2026-21513 and CVE-2025-24054. Microsoft patched the WebDAV working-directory hijack in June 2025, and defenders were advised to watch for WebClient/WebDAV behavior, RTLO filename tricks, and signed binaries launching from remote shares."
Nguy cơ cao do khai thác WebDAV working-directory hijack (CVE-2025-33053) để phân phối infostealer và mở rộng bộ thử nghiệm sang nhiều nhị phân đã ký; tác động tăng khi kẻ tấn công dùng quy trình AI-assisted để tối ưu nhanh chuỗi lừa đảo.
Có thể gây gián đoạn và tổn thất dữ liệu/chiếm đoạt tài khoản do mồi nhắm theo khu vực và kỹ thuật giao hàng qua WebDAV; cần đầu tư giám sát hành vi và chặn IOC để giảm rủi ro lan rộng.
Rapid7 cho biết một máy chủ giao hàng (delivery server) bị cấu hình mở đã lộ ra toàn bộ bộ công cụ phục vụ chiến dịch malware dựa trên WebDAV. Kho dữ liệu chứa 1.048 tệp gồm mẫu mồi (lure), ghi chú thử nghiệm, tài liệu triển khai, dropper và các chuỗi chiến dịch. Theo phân tích, kẻ tấn công có vẻ dùng công cụ sinh mã/AI để tạo, thử nghiệm và ghi chép quy trình phân phối lừa đảo.
Trọng tâm kỹ thuật được nhắc đến là CVE-2025-33053 (WebDAV working-directory hijack). Kỹ thuật lợi dụng tệp .url để khởi chạy một nhị phân Windows đã ký, nhưng chuyển working directory trỏ tới share WebDAV do kẻ tấn công kiểm soát, khiến Windows nạp nhị phân phụ từ xa thay vì bản hợp lệ. Microsoft đã phát hành bản vá vào tháng 6/2025. Ngoài ra, ghi chú còn có thử nghiệm liên quan CVE-2026-21513 và CVE-2025-24054.
Chiến dịch nhắm người dùng Mexico bằng mồi theo chủ đề CURP, dẫn tới infostealer qua trang giả lập tra cứu ID và chuỗi tải qua WebDAV. Dữ liệu panel ghi nhận khoảng 77.098 yêu cầu trong ~5,5 ngày.
Khuyến nghị: rà soát hành vi WebClient/WebDAV, dấu hiệu RTLO (U+202E), tên tệp có đuôi kép/đệm trước .exe/.scr, và tình huống nhị phân đã ký khởi chạy tiến trình con có đường dẫn nằm trên WebDAV/UNC. Ưu tiên chặn IOC và kiểm tra các bản vá liên quan CVE-2025-33053.