在一次针对某医院 Web 服务器的入侵中，攻击者通过 Webshell 连续完成环境侦察、提权代码迭代、远控植入、IIS 模块持久化和定向清痕。攻击端出现 DesRedTeam AI 红队平台指纹，终端日志又记录了密集的反馈标记、机械重试与现场编译。多源证据支持 AI Agent 参与执行层的高置信度判断。奇安信威胁情报中心红雨滴团队也借助 AI 挖掘该开源项目相关漏洞，对另外两处独立部署完成深度取证。
医院 Web 服务器上的这四小时，呈现了攻击端平台与受害机行为的证据闭环：同一 IP 的 Web 面板呈现 DesRedTeam 指纹，而 Webshell 下发的命令持续执行“发令、读回显、改代码、再试”的反馈循环。本案可判定为 AI 参与攻击；具体模型和是否全程无人值守仍需平台运行记录确认。
01一眼看懂：攻击的时间成本
约 4 小时 07 分当日首条可见攻击命令 → 清痕阶段结束 | 约 57 分钟首轮现场编译 → 获得 SYSTEM 进程 | |
约 10 分钟提权成功 → 首个远控程序连接攻击端 | 约 19 分钟IIS 模块落地 → 开始定向清理访问日志 | |
图 1｜从入口到清痕：阶段几乎无缝衔接
10/16 22:36Webshell 编译产物时间戳
Webshell 经任意文件上传漏洞落入站点图片目录；该时间戳不能精确界定上传时刻。
↓
10/17 12:01当日可见攻击命令开始
Web 服务进程派生命令解释器，执行系统信息侦察。
↓ 约 1 小时 56 分
13:57本地提权成功
子进程以 NT AUTHORITY\\SYSTEM 身份执行 whoami。
↓ 约 10 分钟
14:07首个远控程序连接攻击端
随后更换程序版本与端口，持续验证通信路径。
↓ 约 1 小时 34 分
15:41投放并注册 IIS 原生模块
双位数 DLL 落盘，随后修改时间戳。
↓ 约 19 分钟
16:00–16:09定向清痕与收尾
执行 IIS 日志删改脚本，并尝试处理安全检出与事件日志。
图中 10 月 17 日节点来自终端日志；10 月 16 日时间来自动态编译程序集的 PE 时间戳。时间间隔按相邻节点计算，均为近似值。
02入口：利用文件上传漏洞落地 Webshell
攻击者利用某任意文件上传漏洞，将 Webshell 上传至站点图片目录。取证到的 ASP.NET 动态编译程序集显示，该页面可通过 HTTP 参数调用 cmd.exe。10 月 17 日的 EDR 记录中，攻击命令沿着 w3wp.exe → cmd.exe → powershell.exe 的进程链执行，命令前反复出现 chcp 65001 >nul &，为输出统一设定 UTF-8 编码。
图 2｜一分钟级反馈循环：发令、读数、修正、重试
01 / 发令 拆成单一小任务系统信息分开查询；先问磁盘，再问系统版本和域信息。 | 02 / 读数 统一编码回显多处把结果转成 Base64，并写入状态标记便于判读。 | |
↓ 出现失败或空回显时，立即改变调用方式 ↓ | ||
03 / 自测 先验证执行通道PSOK、PSFILE_OK 等哨兵字符串逐级检查 PowerShell、脚本文件与编译能力。 | 04 / 重试 按反馈迭代调整脚本、进程位数与工具参数，再经同一 Webshell 下发。 | |
综合研判：这一循环与同一攻击端的 DesRedTeam 面板相互印证，支持 AI Agent 参与命令执行层的高置信度结论。现有日志不能逐条还原模型提示词，也不能证明每条命令都由模型独立生成。
“统一编码、命名哨兵、失败后重试”均见于进程命令行和 PowerShell 脚本事件；图中的 Agent 解释属于行为分析。
03提权：现场编译把试错压缩到一小时
攻击者没有只运行一个现成工具。EDR 记录了将编码后的 C# 源码写入临时目录，再调用 csc.exe 多次编译的过程；类名、脚本名与参数不断变化。提权载荷还把 BEGIN → DECODED → LOADED → DONE 等阶段标记写入文件，用来定位失败发生在哪一步。
图 3｜13:00–13:57：编译、替换路线、验证权限
13:00 | 首次可见现场编译编码 C# 源码写入临时目录，csc.exe 生成临时 DLL。 | |
13:01–13:53 | 后续至少五次编译记录多个类名与随机 DLL 名出现，穿插测试文件和执行参数。 | |
13:35–13:57 | 提权路线连续切换探活程序、不同版本的提权工具及 EFSRPC 相关载荷被依次调用。 | |
13:57:33 | 执行最终提权脚本脚本加载编码程序集，并触发 cmd.exe /c whoami。 | |
↓ 4 秒内出现关键进程事件 | ||
13:57:37 | SYSTEM 身份得到直接证实EDR 记录子进程用户为 NT AUTHORITY\\SYSTEM，回写结果也包含该身份。 | |
这里的“约 57 分钟”是从首个与本轮提权源码相关的编译记录到 SYSTEM 子进程出现；不是整条入侵链的用时。
真正缩短处置窗口的动作：攻击者把“能否执行、哪里失败、下一版怎么改”都变成机器可解析的反馈。防守方若只盯单个恶意文件名，很容易错过同一小时内快速更换的多个版本。
04植入：提权后十分钟就开始试探回连
取得 SYSTEM 权限后，攻击者先读取站点配置和身份信息，随即部署多个名称相近的小体积程序。EDR 记录到它们连接或尝试连接同一攻击端（下称节点 A），并切换 8433、1433、1443 等端口。历史测绘记录显示，节点 A 的 8080 端口在案发前已呈现 DesRedTeam 页面标题。项目官方说明将它定位为整合 AI 调度、WebShell 管理与 C2 控制的红队平台。这把本案 C2 基础设施与 AI 攻击工具联系起来。
关联强度：面板指纹和 EDR 记录的远控目标为同一节点，且面板记录早于本次入侵。平台名称在其他服务器上也可出现，因此不能将所有同名面板归为同一攻击者，更不能把项目维护者归为本案攻击者。
图 4｜一个目标、多版植入、多端口试探
医院案攻击节点 A（公开 IOC 见第 08 节）
↓
| 10/14 | 8080：DesRedTeam Web 面板 历史测绘已记录该页面标题；早于本案可见的 Webshell 运行。 |
| 14:07 | w3svc_upd.exe → 8433 首个植入程序的外联事件；随后出现第二版。 |
| 14:09 | w3svc_upd2.exe → 8433 近两分钟内更换版本，并用 PowerShell 探测端口。 |
| 14:14 | 端口探测 → 1433 / 14330 用 TcpClient 测试不同目标端口。 |
| 14:15 | w3wpmn.exe → 1433 切换植入程序与回连端口。 |
| 14:19 | w3wpmn2.exe → 1433 约四分钟后出现同系列新版本。 |
| 15:08 | w3sys.exe → 1443 另一版程序继续联系相同攻击端。 |
10/14 节点来自历史互联网测绘；其余时间对应 EDR 进程或网络事件。日志可证明外联与探测行为，不能单凭该日志证明远控会话持续建立或数据外传成功。
05持久化与清痕：十九分钟的收尾窗口
攻击后段，攻击者将 x64 和 x86 两版 w3cache.dll 投放到 IIS 目录，并通过 appcmd 注册 W3CacheModule。随后脚本调整模块文件时间戳，再执行逐行筛除 IIS 访问日志中指定标记的脚本。这种“按自己留下的指标回头清理”的动作，与前面的自查脚本形成呼应。
图 5｜15:41–16:09：部署、伪装、筛日志、删工具
15:41复制 DLL 并登记 IIS 模块
W3CacheModule 指向 IIS 目录中的 w3cache.dll。
↓ 约 6 分钟
15:47改写模块文件时间
以同目录系统文件时间为参照，降低新文件的突兀感。
↓ 约 13 分钟
16:00定向筛除 IIS 访问日志行
执行 scrub_iis.ps1 并重启相关站点；脚本以特定路径和攻击端指标筛选日志。
↓
16:03–16:09继续清理并结束可见操作
执行检出、事件日志相关脚本，随后删除多份临时脚本与结果文件。
日志记录了这些命令和脚本动作。部分清理操作的最终覆盖范围需要服务器镜像或清理前备份核查。
06为什么判定 AI 参与：平台与行为双重证据
直接观察攻击端出现 DesRedTeam 面板。历史测绘以 title="DesRedTeam" 命中节点 A 的管理页面；EDR 将同一节点记录为多个植入程序的外联目标。项目官方文档明确列出 AI 调度、WebShell 管理和 C2 控制能力。
直接观察稳定的机器可解析命令格式。命令统一设置 UTF-8；侦察结果被编码回传，多个步骤写入明确的状态标记。
直接观察小步自测与机械重试。先测试输出、脚本和编译能力，再连续调整连接串、参数组合与提权程序版本。
直接观察目标机上迭代编译。从首个相关编译记录到 SYSTEM 进程出现约 57 分钟，期间可见多个版本和诊断标记。
综合研判AI Agent 参与执行层：高置信度。攻击端的 AI 平台页面指纹与 Webshell 命令闭环相互印证；单看面板标题或单看自动化命令，都不足以达到这一判断强度。该 C2 下线后未能取得后台数据。
尚未证实“全链自主 AI 入侵”。没有本案的模型调用、提示词、控制端会话或审批记录；长停顿可能来自人审阅，也可能来自推理、编译和等待。
研判结论：本案是一起 AI Agent 参与的 Web 入侵，执行层判断为高置信度；Web 服务器失陷与 SYSTEM 提权已有直接证据。页面指纹和行为模式尚不能回答“人是否在环”，因此不把它写成全链无人值守攻击。
07魔法打败魔法:独立取证
奇安信威胁情报中心红雨滴团队对 DesRedTeam 的公网暴露面进行测绘。截至 2026 年 10 月 26 日，历史测绘发现 89 条记录、56 个去重公网 IP，覆盖 7 个国家和地区；其中 41 个 IP 曾在 8080 端口暴露相关面板。开源项目的面板在多地出现，显示其部署与复用范围。
图 6｜DesRedTeam 公网暴露面：56 个去重 IP
89历史测绘记录 | 56去重公网 IP |
| 中国内地 | 21 | |||||
| 中国香港 | 14 | |||||
| 美国 | 14 | |||||
| 日本 | 4 | |||||
| 中国台湾 | 1 | |||||
| 法国 | 1 | |||||
| 新加坡 | 1 | |||||
测绘截至 2026-10-26，包含历史暴露记录。历史记录不等于同时在线；面板特征也不能证明这些 IP 均用于攻击，或属于同一操作者。图中不展示节点及受害者地址。
这组测绘数据与下述独立节点取证放在一起，呈现出开源 AI 攻击平台的复用与滥用风险：工具公开可得，部署散见多地，而医院案及另外两处节点分别出现实际攻击活动。“使用门槛降低”是基于开源可复用性与多处独立部署作出的研判，不是对 56 个 IP 的恶意定性。
医院案的攻击节点 A 已下线，未能取得其 C2 后台数据。奇安信威胁情报中心红雨滴团队借助 AI 挖掘 DesRedTeam 开源项目相关漏洞，利用漏洞获取了另外两个基于该项目部署的攻击节点活动信息。节点 B 与 C 共享开源工具底座，分别呈现远控端和二次开发 AI 平台的形态；目前没有证据将它们归于同一操作者，也不能将其归于医院案攻击者。下文仅使用节点 B、节点 C编号，不公开漏洞原理、节点地址、受害者标识或取证步骤。
图 7｜同一开源底座，两处独立部署
DesRedTeam 开源项目 · 共同工具来源
↓
节点 B / DesShell 部署 3 条受控主机记录东南亚某政府网站、墨西哥某公立高等教育科研机构网站各 1 条；另 1 条记录的行业未核实。服务端自报 VShell v4.9.3。 | 节点 C / ARTEX 二次开发 15 个专业化代理审计保留 4 轮 AI 辅助实战会话；活动方向研判为疑似游戏相关黑产。 |
关联边界：节点 B、C 与医院案节点 A 均出现 DesRedTeam / DesShell 生态特征；这证明的是工具来源关联。节点 A 未完成 C2 取证，B、C 也没有形成同一操作者或同一战役的证据链。
B、C 的关联来自共享开源项目及组件，不代表彼此协同。东南亚某政府网站与墨西哥某公立高等教育科研机构网站均有节点 B 的受控主机记录支持；游戏相关黑产属于补充研判，不能据此确认节点 C 全部会话的受害行业。
节点 B 的可见数据包含 3 条受控主机记录，其中 1 条对应东南亚某政府网站，1 条对应墨西哥某公立高等教育科研机构网站，归入教育科研行业；最后 1 条仅能确认受控状态，无法据现有资料判断行业。部分植入程序使用系统进程风格的名称伪装。服务端仪表盘自报 VShell v4.9.3，同时显示 vip=true、授权到期日为 2099-12-01（licTime=20991201），呈现疑似破解授权特征。公开报告不展示站点域名、主机名、账号、地址和连接标识。
该服务端当前仅保留 3 条受控主机记录，但递增的客户端编号计数器 clientNum=99。两者之间的落差提示历史登记或上线规模可能远高于当前可见数量，可能曾有数十台客户端上线；计数器不等于去重受害主机数，不能据此确认准确的历史受害规模。
图 8｜节点 B：VShell 服务端保留的后渗透能力
4.9.3VShell 服务端自报版本 | 99递增客户端编号计数器 | |
3当前留存受控主机记录 | 5服务端已上传的插件包 | |
资产侦察fscan用于内网主机与服务扫描。 | 凭据获取mimikatz用于 Windows 凭据转储。 | |
账户持久化AddUser用于创建本地后门账户。 | 网络隧道gost服务端保留 Windows 与 Linux 两个插件包。 | |
另有 Go DLL 加载器模板
恢复的源码调用 syscall.MustLoadDLL("tcp_windows_amd64.dll")，显示 EXE 与 DLL 组合投放的类“白加黑”能力。
图示的是服务端保留的插件与加载器模板，不能据此认定它们已在三台受控主机上执行。clientNum=99 是编号计数器，不代表 99 台独立受害主机。
节点 B 的文件管理和截图依赖与客户端的实时连接，服务端不留历史文件或截图缓存。取证时监听器已停止、客户端全部离线，无法从该 C2 恢复历史传输文件或截图；是否发生数据窃取、涉及哪些内容，仍需受害端终端日志或网络流量核实。基于目前可确认的目标，节点 B 背后的操作者疑似为具有政治目的的 APT 团伙。
节点 C 是经过二次开发的 AI 作战平台，活动方向被研判为疑似游戏相关黑产。平台记录的会话总数为 88，其中 50 个仍可检索（49 个开发会话、1 个自动巡检会话），38 个已删除，不能把 88 个会话算作攻击次数。审计日志仍保留 4 轮针对同一目标的 AI 辅助实战会话痕迹及其创建、删除顺序；对应会话已从列表中移除。这 4 轮会话的目标行业尚未独立核实。
节点 C 的二次开发平台将 Web/API 会话、本地 AI 推理、15 个专业化代理、工具审计和持续巡检整合为一套作业系统。新增取证还发现 3 套外部 MCP（Model Context Protocol）攻击服务：取证时两套已连接，一套断开；平台注册 135 个内建工具，其中 51 个已启用。下图分别标出配置、连接状态与实际活动证据：
图 9｜节点 C：从任务入口到知识回流的二次开发架构
管理与会话入口ARTEX · DesRedTeam 二次开发平台Go/Gin Web 控制台与 API · 任务创建 · 会话与审计
↓任务下发、推理与规划
推理层hermes-agent 本地 AI 服务配置了兼容式模型通道；底层实际模型不能仅由接口格式确定。 | 编排层 · 3 个代理Plan-Execute · Supervisor · Deep拆解目标、分配专家、协调结果与修订计划。 |
↓委派专业任务并接收反馈
专业层 · 12 个代理覆盖侦察、验证、行动规划与报告
侦察信息收集漏洞分诊参与规划渗透测试权限提升内网横向持久化影响验证低干扰清理回滚报告修复
↓工具请求进入审计与路由
HITL 审计围栏审计代理 · 参数修订配置了高风险操作审查和 14 个白名单工具自动放行；未见实战拦截日志。 | 内建工具库135 个注册 · 51 个启用涵盖任务、资产、漏洞和知识管理；注册不等于实战调用。 |
↓外部 MCP 武器接口（取证时状态）
断开 · 45 工具GSL5 / GodzillaWebShell 管理、文件与数据库操作；相关 27 次调用均失败。 | 已连接 · 5 工具lateral / Impacket提供 SMB 验证与远程执行等横向移动接口。 | 已连接 · 5 工具persistence / Linux提供用户管理与计划任务等持久化接口。 |
↓其他接口与结果回流
资产与知识资产测绘 / 情报检索ARL、注册信息查询和历史知识检索等接口。 | 执行适配VPS Executor远程执行能力的配置可见；不能据此认定用于本篇医院案。 | 后端未运行DesShell取证时相关 C2 接口不可用；与已连接 MCP 分开判断。 |
↓会话、审计与结果沉淀
证据与输出会话记录 · 审计日志 · 知识库 · 告警50 个会话留存、38 个已删除；审计仍证实 4 轮 AI 辅助实战会话。
并行的 Cairn 自动巡检流水线
新资产发现 → AI 分析与增量去重 → 知识沉淀 → 告警推送。取证中另有巡检会话样本，不能把巡检会话计作攻击会话。
图据节点 C 的配置、连接状态、会话与审计记录绘制，只描述该独立平台。“已连接”不等于已在 4 轮实战中调用；GSL5 与 DesShell 取证时不可用。图中没有攻击节点地址、受害者标识或取证入口细节。
这套结构体现了二次开发的重点：AI 代理可经审计围栏调用内建工具和外部 MCP，再把结果送回会话、知识库与巡检流水线。取证能直接支持 lateral 与 persistence 两套 MCP 在采集时已连接、GSL5 断开、内建工具的启用状态，以及 4 轮 AI 实战会话的审计痕迹；尚无证据证明这些 MCP 在那 4 轮行动中实际调用，也不能认定所有 15 个代理都参与。节点 C 的平台架构不能套用到已下线的医院案节点 A。
魔法打败魔法：攻击者借助 AI 平台组织行动，我们也用 AI 研究其开源工具并发现相关漏洞，最终固定了节点 B 的受控主机记录，以及节点 C 的平台会话、MCP 配置和审计证据。操作者删除会话并不能保证审计痕迹随之消失。分析结果展示了跨行业的威胁和可复核的取证能力；它们不作为医院案攻击者身份或 C2 内部操作的证据。
08可共享的检测线索
医院案的攻击侧 IOC 可以公开，因此本节列出经样本或 EDR 复核的网络、文件与 IIS 配置指标。医院自身的地址、域名和业务标识继续脱敏；独立节点 B、C 的真实地址也不公开。Webshell 口令等可直接复用的入口细节不纳入公开清单。
医院案 IOC｜2026-10-17 观察
类别 | 指标 | 说明 |
|---|---|---|
攻击端 | 198.44.46.58 | 本案直接回连目标；观察到 8433、1433、1443 端口外联，另有 14330 端口探测。 |
Webshell | pic_7c31d9.aspx app_web_zcdjmtmt.dll | 前者为页面文件名；后者是 ASP.NET 动态编译产物，SHA256：E33A08C9BDE547D3EF513CB635E979D16DB71332C026A46036156B5744EFF557。 |
远控程序 | w3svc_upd.exe / w3svc_upd2.exe | 落于 %windir%\\TEMP；MD5：a6aba265bfd96863398c620462cd8494 / 30e439cdfeae208bf54f58a6dcef414d；对应 8433 端口。 |
远控程序 | w3wpmn.exe / w3wpmn2.exe | 落于 %windir%\\TEMP；MD5：b76c0eec7d6a16ee094dd8c990f66021 / ba807ded2eb583dae90250dd18fd0878；对应 1433 端口。 |
远控程序 | w3sys.exe | 落于 %windir%\\TEMP；MD5：0602b578234f13bed0ce114d278711af；对应 1443 端口。 |
IIS 模块 | W3CacheModule / w3cache.dll | 注册于 IIS globalModules，文件位于 %windir%\\System32\\inetsrv / %windir%\\SysWOW64\\inetsrv；x64 版 SHA1：c1600af8f933bac05c9d848998a8ba38d0de1346，x86 版 SHA1：04a294b034b0834054f561652fcd830aa0fe3f7a。 |
清痕脚本 | scrub_iis.ps1 / fixtime32.ps1 | 分别关联 IIS 访问日志定向删改和模块文件时间修改；文件名应与执行链一起研判。 |
关联行为检测｜适合持续狩猎
类别 | 线索 | 判读建议 |
|---|---|---|
网络关联 | Web 服务进程或临时目录程序连接 198.44.46.58 | 结合进程路径、端口和时间线判断；单独命中 IP 时仍需核实上下文。 |
进程链 | w3wp.exe → cmd.exe → powershell.exe | 结合 Web 服务器身份、父子进程与时间序列判读。 |
命令模式 | chcp 65001 >nul & | 与 Web 服务进程派生命令解释器同时出现时优先调查。 |
编译行为 | csc.exe 在临时目录生成随机名 DLL | 关注 Web 服务进程下的短时多次编译与随后加载。 |
IIS 配置 | W3CacheModule / w3cache.dll | 核对 globalModules 与实际文件哈希、签名及创建记录。 |
文件名组合 | w3svc_upd*.exe 、w3wpmn*.exe、w3sys.exe | 名称本身并非定罪依据，应结合来源、执行与回连事件。 |
反取证 | scrub_iis.ps1 、fixtime32.ps1 | 核查日志异常减少、IIS 模块文件时间与安装时间不一致。 |
防守侧优先级：一旦发现 Web 服务进程派生交互式命令工具，应立即保全进程链、IIS 配置与原始日志，并隔离相关主机。排查持久化时先核对模块配置与加载关系，再处理模块文件，避免直接删除正在被 IIS 引用的 DLL。
09结语：防守窗口正在按分钟缩短
这台医院服务器上，攻击者从首个现场编译动作到 SYSTEM 身份只用了约 57 分钟；提权后约 10 分钟，首个远控程序就联系到攻击端；模块落地后约 19 分钟，定向清痕已经开始。医院案的 DesRedTeam 面板指纹与连续命令闭环，共同支持 AI 已进入真实入侵执行链的研判。独立节点 C 的审计进一步显示另一处 AI 代理实战，节点 B 则揭示同类远控生态的跨行业受害面。两处节点攻击活动的信息展示了从远控记录和平台审计还原攻击活动的能力。面对快速自测、改错和重试的攻击流程，检测与响应必须围绕连续行为链展开。
声明：本文来自奇安信威胁情报中心，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
