卡巴斯基披露 CyberStrikeAI 实战攻击：LLM 编排后渗透从侦察到全域沦陷

cyb3rops · x · 2026-11-03

卡巴斯基 CTI 团队披露一起针对非洲与拉美教育机构的真实网络攻击，开源框架 CyberStrikeAI 在后渗透阶段扮演关键角色：C2 服务器上的 LLM 编排器负责规划行动、选择工具并生成命令，植入体在失陷主机上执行。

攻击时间线显示两个阶段：人工操作员完成初始访问与本地侦察（含 RogueWinRM、GodPotato 等工具投递）后沉寂约 2 周；随后 CyberStrike AI Agent 接管，在约 15 分钟内完成本地侦察、域侦察，30 分钟内实现 SMB 横向移动，9 分钟内完成大规模凭据转储，并进行了数据库访问与数据外泄。