大家好，我是AI紫队安全研究。建议大家把公众号“AI紫队安全研究”设为星标，否则可能就无法及时看到啦！因为公众号只对常读和星标的公众号才能大图推送。操作方法：先点击上面的“AI紫队安全研究”，然后点击右上角的【...】,然后点击【设为星标】即可。
关注视频号 “AI紫队安全研究” 不定期周五晚上10点直播。
导语
当黑客可以利用大模型AI自动改写恶意软件，传统靠病毒哈希、静态IOC特征的防御正在快速失效。ReversingLabs最新披露与Midnight Blizzard（APT29/Cozy Bear，太阳风事件幕后组织）相关的GTG‑20006（微软命名CaptiveCrunch）间谍活动。安全厂商仅仅拿到2份恶意样本哈希，依靠行为关联、基础设施溯源，挖掘出整套攻击武器：5版不断被AI重构的加载器、特殊URL快捷方式诱饵、整套C2服务器集群。更可怕的是：厂商公开披露两个月后，黑客服务器依然在持续下发恶意载荷。
一、事件背景：AI加持，“检测即重生”的间谍活动
GTG‑20006是俄语背景间谍行动，目标瞄准欧洲、乌克兰的政府机构、外交使团、智库、国防工业单位。
根据Anthropic披露：该团伙使用Claude大模型，一旦恶意程序被安全产品标记，AI就自动重写代码、生成新版本，绕过查杀，也就是业内说的“检测即重生”模式。
核心两套恶意样本：
1. ChocoShell：PowerShell内存加载器，内存运行窃取浏览器Cookie、M365令牌；
2. CornFlake：Go语言编写的持久化后门，伪装系统进程`svchost32.exe`，实现长期驻留、键盘记录、远程控制。
有意思的细节：ReversingLabs在微软7月31日发布报告、Anthropic9月报告之前，早在7月上旬就已经在遥测数据捕获到这两份样本。但是！黑客利用AI快速迭代，短短25天内产出5个不同哈希的加载器变体，每个文件哈希完全不一样，静态杀毒很难匹配识别。
关键点：哈希变了，但攻击者的通信行为、Beacon标记、服务器地址、业务逻辑几乎完全不变。
这也是本次溯源最重要的启示：靠单一样本哈希做防御，已经跟不上AI恶意代码迭代速度。
二、溯源思路：只有2个哈希，如何挖出完整攻击图谱
手上仅有两份公开样本哈希，安全团队没有靠简单字符串搜索，而是采用5步关联溯源，把隐藏的攻击组件全部挖掘出来：
1. 内容提取：从ChocoShell脚本提取C2服务器IP、Beacon信标标记（`stage2_entry`、`stage2_ctx_`）；
2. YARA回溯狩猎：针对黑客自定义的Beacon特征编写规则，一下子捞出另外5个重构后的PowerShell加载器；
3. 文件来源溯源：查询哪些文件是从黑客中转服务器下载得到，定位到两套真实的恶意载荷；
4. URL‑静态查询：找到2个极具迷惑性的`.url`互联网快捷方式诱饵文件；
5. DNS解析关系：还原钓鱼域名和后端服务器的对应关系，挖掘更多未公开的基础设施。
⚠️ 踩坑教训：研究人员尝试直接搜索服务器IP字符串，返回大量网上公开IOC文档，完全找不到恶意样本。因为新版本样本不再硬编码明文IP地址，单纯字符串检索彻底失效。
容易被忽略的致命诱饵：`.url`快捷方式文件
本次攻击中黑客使用仅60字节的Windows快捷方式（*.url）作为入口诱饵，文件本身不含任何恶意代码，仅仅储存一条HTTPS链接，点击就会去黑客服务器下载ChocoShell加载器。
极具迷惑性：37家主流杀毒引擎，全部没有标记这个快捷文件为恶意。它的威胁不在于自身代码，而在于它指向的恶意网络资源。传统基于文件内容的检测完全失效。
三、完整攻击链路还原
1. 投放诱饵：向目标投递恶意`.url`快捷方式诱饵文件；
2. 用户双击打开快捷链接 → 访问黑客中转服务器，下载PowerShell加载器ChocoShell；
3. ChocoShell隐藏窗口执行，修改PowerShell执行策略，Base64解码运行恶意代码；
4. 采集浏览器历史记录、Shadow Copy卷影副本信息，通过伪装成`pixel.gif`图片的Beacon信标上报状态给C2；
5. 完成前期侦查之后，进一步部署Go后门CornFlake；
6. CornFlake复制自身伪装成`svchost32.exe`，通过注册表Run键、计划任务多重持久化；实现进程注入、键盘记录、窃取Chrome/Edge/Teams本地缓存凭证；
7. 攻击者远程下发指令，横向移动、窃取机密文件。
补充背景：该行动还配套Embassy‑Kit工具集，滥用微软设备代码钓鱼，就算开启MFA多因素认证，攻击者依旧可以劫持M365账号会话。
四、本次攻击4个颠覆传统安全认知的高危发现
1️⃣ AI改写只改“外壳”，核心行为纹丝不动
五个重构后的ChocoShell加载器，每个文件哈希、模糊哈希ssdeep发生改变，但是35项能力行为配置、Beacon信标标记、C2通信逻辑完全一致。
启示：AI可以快速改变文件特征，但很难一次性改掉整套攻击行为逻辑。行为检测＞静态哈希检测。
2️⃣ 公开报告不等于黑客基础设施已经下线
微软7月底就公开披露CaptiveCrunch行动，但是研究人员在10月5日再次扫描：黑客的中转服务器依旧HTTP 200正常响应，可以正常下发恶意加载器。
很多企业的惯性思维：安全厂商发布报告，威胁就消失了。现实是攻击者不会主动关停服务器，需要防御方主动拦截封禁。
3️⃣ 第三方威胁信誉评分参考价值大幅下降
这批攻击基础设施，大部分域名、IP，第三方威胁情报源标记恶意数量只有0‑5/50。很多高危服务器在公开曝光之前几乎无告警。
单纯依赖“威胁信誉得分”做阻断，会漏掉大量高级APT基础设施。
4️⃣ 无恶意代码的诱饵文件，正在成为APT新入口
`.url`快捷方式这类零代码诱饵，杀毒软件看文件本体是干净文件，威胁来自外部网络链接。传统终端检测很难识别，需要结合URL信誉、网络行为做联合判断。
五、企业防护落地建议（可直接给到安全运维团队）
1. 情报不要只存哈希，优先保存行为特征、IOC网络指标
拿到外部安全厂商报告，第一时间不要只导入样本哈希。同时导入URL、IP、YARA/Sigma行为规则，对历史遥测数据做回溯狩猎，排查环境是否曾经中招。
2. 不要默认“公开披露就等于威胁已经消亡”
报告披露之后，必须主动封禁报告给出的IP、域名、URL路径，不要假设黑客会主动关停服务器。
3. 强化针对设备代码钓鱼风险管控
如果业务允许，通过Conditional Access条件访问策略，限制微软Entra ID设备代码认证登录流程，从源头切断Embassy‑Kit类攻击入口。
4. 重点监控这几类异常行为
PowerShell脚本访问路径含`/t/pixel.gif`，携带`stage2_entry`、`stage2_ctx_`等信标标记；
陌生`svchost32.exe`程序从`%LOCALAPPDATA%\Microsoft\svchost32\`目录启动；
系统出现来历不明的`.url`快捷文件，指向外部陌生HTTPS服务器；
PowerShell隐藏窗口执行、Base64解码执行、大量浏览器凭证读取行为。
5. 更新狩猎规则：部署对应YARA、Sigma检测规则
针对ChocoShell Beacon特征、CornFlake后门启动路径做告警，重点关注内存PowerShell脚本块日志。
写在最后
AI赋能恶意代码的时代已经实实在在到来。黑客借助大模型可以几分钟生成全新哈希的变种，让传统基于样本特征的防御疲于奔命。
但这次ReversingLabs的溯源也告诉我们：即便文件外表被AI全部改写，攻击者的攻击行为、通信标记、基础设施链路很难一次性全部抹除。
未来政企安全防御，行为分析、基础设施关联溯源、历史遥测回溯的权重，会越来越高于单纯的病毒哈希查杀。
加入知识星球，可获取权益
一、"全球高级持续威胁：网络世界的隐形战争"，总共26章，为你带来体系化认识APT，欢迎感兴趣的朋友入圈交流。
二、为什么加入？
职场瓶颈期找不到突破方向？安全项目落地缺成熟方案？面对APT攻击、勒索病毒不知如何构建防御体系？
三、在这里，你能获得的不只是资料包，而是直接对接行业专家的「私人顾问服务」
✅ 职业发展「精准导航」
1v1简历优化：针对安全岗（渗透测试/安全运营/合规等）拆解JD，突出核心竞争力；
晋升避坑指南：从工程师到安全负责人，分享晋升路径，避开「技术强但管理弱」的晋升陷阱；
技能栈规划：根据你的基础（应届生/3年经验/资深专家）定制学习路线，比如从0到1学SOC安全建设、APT威胁狩猎。
✅ 安全方案「对症开方」
实战方案库：含医疗/制造业/等行业的勒索防御、数据安全合规、供应链安全加固方案（附落地工具清单+成本测算）；
架构设计咨询：小到EDR选型，大到零信任体系搭建，提供「预算效果」平衡的最优解（已帮10+企业节省40%防护成本）。
✅ 圈子资源「直接对接」
大厂安全负责人拆解真实案例（如某支付公司攻防对抗的实战复盘）；
四、适合谁？
想突破职业天花板的安全工程师/架构师；
需快速落地安全项目的企业负责人；
关注行业动态的安全爱好者或IT从业人员。
喜欢文章的朋友动动发财手点赞、转发、赞赏，你的每一次认可，都是我继续前进的动力。