AI攻击实录：服务器失陷 PayPal收款凭证成替换目标

一、 概述

近日，火绒接到一名网站站长反馈：发现服务器运行速度明显下降，并在网站目录中发现多份陌生脚本、可执行程序和命令回显文件。

火绒安全实验室对相关文件进行取证分析，确认该Windows服务器已遭入侵。取证材料完整记录了攻击者在服务器内执行命令、提升权限、导出系统凭证文件、创建计划任务、修改FRP配置以及检索PayPal API配置的过程。攻击任务会保存每一步的执行结果，并依据回显继续下发命令：一种提权方式执行失败后，后续任务改用另一种提权方式并成功取得NT AUTHORITY\SYSTEM权限；注册表凭证文件生成后，任务继续执行编码和分片操作，读取泄露的信息。

在取得SYSTEM权限后，攻击任务递归检索网站源码和备份文件，命中多个PayPal相关控制器及配置文件，并取得其中的API用户名字段。据站长反馈，目前该事件暂未造成资金损失。

图1、目录中出现的文件

除本次服务器入侵事件之外，火绒安全工程师还在一次独立的公网威胁情报调查中，获得了另一处未鉴权的AI自动化攻击平台后台线索。

图2、攻击者攻击的学校

由于该测试人员未严格规范测试范围，导致Agent越界读取数据库中的人员信息，造成信息泄露。

图3、Agent越界取数据

图4、Agent平台产出

目前，火绒安全产品已实现对入侵系统后所部署Agent恶意样本的查杀。

图5、火绒查杀图

二、流程图

图6、流程图

三、过程分析

传统扫描工具通常按照预设步骤运行，例如：先进行多方互联网基础设施情报收集、网站扫描、接口提取，按参数暴力拼接非预期数据，分析返回信息。与传统扫描工具和人类不同的是，Agent能根据实际情况分析当前环境，并依据环境采取特定的攻击行为。以网站平台入侵攻击事件为例，Agent通过未校验文件后缀的上传接口，在网站上传目录中放置了名为wmiapsrv.asp的WebShell。当请求携带约定的HTTP头时，程序会读取命令参数，通过WScript.Shell执行CMD命令并返回结果。

图7、Agent上传的网站后门

获取网站权限后，Agent开始尝试提升主机权限。它先后投放了GodPotato、COM/NTLM提权工具和PrintSpoofer等工具。GodPotato返回失败后，Agent切换至PrintSpoofer路线。日志最终显示，提权工具成功取得NT AUTHORITY\SYSTEM令牌。此后，凭证导出、计划任务创建和FRP重启等脚本均以SYSTEM身份返回。

图8、Agent提权日志

在SYSTEM权限下，Agent复制了SAM、SYSTEM和SECURITY文件。这些文件可被用于离线提取本机账号凭证。

图9、Agent获取凭证脚本

为了把体积较大的文件带走，它调用系统自带工具进行Base64编码，再将大文件拆分为多个分片，复制至网站可访问目录。日志记录了编码成功、输入输出大小和生成文件。

图10、Agent分片的文件

提权后，AI Agent还注册了计划任务，定时往网站目录中写asp木马，尝试实现持久化驻留。

图11、Agent计划任务脚本

图12、Agent计划任务日志

由于目标服务器中已存在FRP客户端。Agent选择直接覆盖frp配置、结束旧进程并重新启动frpc。Agent还准备了一枚伪装成系统组件的version.dll，尝试测试frpc能否从当前目录加载恶意DLL，目标是实现持久的内网访问。

图13、Agent的frp脚本

Agent完成主机控制后，其盯上了受害者的PayPal收款凭据，它使用findstr进行文件内容递归。

findstr /s /r /i "_api1\.[a-z]"

搜索内容包括数据库，网站源码，目标是获取PayPal账号和支付信息等数据。

图14、Agent寻找paypal凭据的sql脚本

四、事件特征

本次服务器取证材料呈现出以下特征：

持续读取回显：脚本和工具的标准输出、错误输出被集中重定向到文件，后续任务直接依据这些结果推进。

任务拆分细密：权限提升、凭证复制、编码、分片、计划任务、FRP重启和业务配置检索分别由独立脚本执行并保存结果。

覆盖多个攻击阶段：同一轮任务包含初始控制、权限提升、凭证访问、持久化、网络通道配置和业务数据检索。

留下大量中间文件：频繁生成脚本和命令结果增加了服务器磁盘与计算开销，也为事件取证保留了完整线索。

这些记录反映了Agent编排攻击任务时的执行特点：

1、由于ai上下文有限，ai通常会重复尝试攻击，比如重复做错误的操作，重复执行语法错误的脚本；

2、脚本和工具的输入输出流大量重定向到文件中；

3、持续时间长，同时进行多个业务面的攻击。

五、综述

从OpenAI智能体为完成评测任务自主绕过网络隔离、越权访问Hugging Face系统，到Hacktron AI团队借助Anthropic旗下Claude模型成功验证OpenAI系统漏洞，一系列安全事件表明，AI不仅正在降低网络攻击的技术门槛，其自主执行能力也可能带来不可预期的越权风险。

火绒在此提醒广大用户，针对具备自主执行能力的AI智能体，应建立严格的安全边界，遵循最小权限原则，通过沙箱隔离限制文件访问、网络通信及工具调用范围，同时对高风险操作实施人工审批与行为审计。尤其应加强对提示词注入、任务劫持及权限滥用等风险的防范，避免AI智能体在执行任务过程中突破授权边界，造成敏感信息泄露或系统安全受损。

六、样本IOC