Una recente analisi di sicurezza ha evidenziato un caso di intrusione in cui un attaccante ha utilizzato uno script PowerShell probabilmente generato con intelligenza artificiale per eseguire la mappatura di Active Directory. Dopo aver ottenuto accesso tramite Remote Desktop Protocol su un Windows Server joinato al dominio usando credenziali già compromesse, il threat actor ha predisposto strumenti e file nella cartella C:\ProgramData, avviando una fase di ricognizione particolarmente rumorosa e aggressiva.
Lo script PowerShell aveva come obiettivo individuare il Domain Controller e raccogliere informazioni critiche sull’ambiente AD. Tra gli elementi che fanno pensare a una generazione assistita da modelli AI ci sono titoli e stringhe placeholder, codice eccessivamente complesso con più metodi di fallback per trovare il Domain Controller e un output in console curato con colori e formattazione. Questa impostazione, oltre a rendere la procedura più rapida per chi attacca, tende anche ad aumentare la probabilità di lasciare tracce rilevabili nei log.
Una volta identificato il Domain Controller principale, lo script avvia una routine di raccolta dati che estrae utenti, computer, gruppi, unità organizzative e relazioni di trust. I risultati vengono salvati in una directory di staging ed esportati in file, con la generazione finale di un report HTML che riepiloga l’inventario ottenuto. In parallelo, l’attaccante ha impiegato anche strumenti legittimi e utility di enumerazione delle condivisioni di rete per individuare repository accessibili agli utenti e potenziali dati di valore.
La fase successiva prevede la trasformazione dei dati in file CSV, l’archiviazione e l’esfiltrazione verso un server remoto, con un approccio che ricorda un playbook smash and grab già noto, ma potenziato dall’uso selettivo dell’AI. Il punto chiave non è tanto la presenza di tecniche nuove, quanto la riduzione dei tempi necessari per operazionalizzare ricognizione, raccolta segreti, persistenza ed esfiltrazione, rendendo più semplice per attori meno esperti costruire tooling efficace.
Questa tendenza si osserva anche nel cloud, dove attacchi assistiti da AI possono concatenare debolezze tra servizi applicativi, risorse cloud, repository e pipeline CI/CD, accelerando enumerazione e impatto operativo in poche decine di ore.