天津
news
AI安全专家在日常巡检中，发现了一个奇怪的现象：
一组陌生程序，正在主动攻击“银狐”木马的C2服务器。
谁在“黑吃黑”？
沿着这条异常线索，360 AI安全分析专家持续追踪，最终独立发现一个此前从未被曝光的全新僵尸网络。
该僵尸网络由AI驱动编写，支持Windows、Linux双平台，可以针对13种常见网络协议发动攻击。自今年7月出现以来，已对全球至少1311台服务器发起凭据喷射攻击，攻击目标遍及近20个国家和地区。
根据其用于伪装的样本名称，360暂将其命名为“端点僵尸网络”。
AI巡检“银狐”，意外发现另一伙攻击者
事情起源于一次针对“银狐”木马的日常巡检。
360 AI安全分析专家在分析“银狐”C2服务器连接数据时，发现了一组不同寻常的程序：它们并非前来接收控制指令，而是在主动攻击多个“银狐”C2服务器。
AI安全分析专家随即采集相关信息，并从样本库中找出对应样本展开逆向分析。
在反编译过程中，AI先后识别出反调试、日志获取、权限提升、数据加密、证书操作和网络连接等敏感行为。综合研判显示，该样本属于恶意下载器，具备隐蔽运行、持续保活和远程接收指令等能力。
更值得警惕的是，“端点僵尸网络”会伪装成curl工具或EDR客户端，并使用AES算法对内部数据进行加密，具有很强的隐蔽性。
其Windows初始投递样本在VirusTotal的检测结果为“0/63”，没有被任何安全厂商标记为恶意；Linux样本此前甚至没有被平台收录。
顺藤摸瓜，AI还原完整僵尸网络
传统检测没有发出警报，但AI安全分析专家没有停下来。
它继续主动挖掘，成功获取控制端下发的指令，并破解其通信加密算法。随后，AI结合安全大数据，对样本、网络连接和攻击行为展开多级关联分析：
向上，追出了僵尸网络使用的部署工具和脚本； 向下，还原了其释放的攻击载荷； 沿着旁支数据，又发现了支持Linux系统的跨平台部署样本。
最终，AI从最初的一条异常连接出发，拼出了“端点僵尸网络”的完整组件、攻击配置和运行方式。
经全面分析确认，“端点僵尸网络”是一个由AI驱动编写的跨平台凭据喷射网络。它采用三层架构展开分布式入侵，支持包括wsman、SSH、RDP、HTTP、FTP、Telnet在内的13种常见网络协议，同时具备信息采集和攻击指令下发能力。
根据AI解密出的攻击数据，当前其主要攻击目标是微软WinRM/GSSAPI普遍采用的Web服务管理协议wsman。360已经发现全球至少1311台服务器正在遭受该僵尸网络的凭据喷射攻击，相关服务器分布在多家主流云服务商，攻击目标覆盖近20个国家和地区。
当攻防进入“机器速度”，安全也需要一支AI专家队伍
完成分析后，360 AI安全分析专家形成了完整事件报告和处置建议，提交人类安全专家审核，并配合建立控制指令监测机制、开展协同处置。
从一条异常连接出发，自主分析样本、破解加密通信、展开关联溯源，最终还原一个完整的攻击网络——这次实战说明，AI在安全领域已经不只是帮助人类查看告警、整理信息，而是开始像真正的安全专家一样，围绕目标持续分析、主动探索并完成复杂任务。
面对AI驱动、自动化和规模化的新型攻击，360正将二十余年积累的安全数据、威胁情报、专家知识和实战经验转化为AI能力，打造覆盖安全巡检、威胁研判、样本分析、攻击溯源等不同任务的安全智能体蜂群，并通过多智能体协同，让原本需要多名专家接力完成的复杂工作进入“机器速度”。
未来的网络攻防，不再只是人与人的较量，也将是AI与AI的对抗。安全能力的竞争，也将从单一工具、单点能力的比拼，走向安全大模型、安全智能体与人类专家协同作战的全新阶段。
当攻击者开始用AI发动攻击，防守者也必须拥有自己的AI安全专家。
以AI对抗AI，这场新的攻防已经开始。
01
02
03
04
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
