Un malware AI-generato ha mappato Active Directory: ecco come è stato catturato

Il 3 giugno 2026 Huntress ha intercettato un incidente di rete in cui un threat actor ha utilizzato uno script PowerShell generato da un modello linguistico AI per mappare un ambiente Active Directory. La novità non è nel target — l'enumerazione AD è routine — ma nel metodo: il codice era prodotto tramite vibe coding, l'approccio iterativo prompt-error con LLM che genera tooling unico e polimorfico. Il rilevamento è avvenuto non perché il sistema riconoscesse il file, ma perché la telemetria SIEM ha catturato le azioni sottostanti, indipendentemente dalla loro origine artificiale.

Come funziona il vibe coding e perché questo script lo tradisce

Il vibe coding è un paradigma di generazione software in cui l'utente descrive l'intento a un LLM in linguaggio naturale, itera su errori e miglioramenti senza comprendere il codice prodotto. Nel caso documentato da Huntress, lo script recuperato dalla telemetria Event ID 4104 recava il titolo "100% Working AD Information Gathering Script - FULLY FIXED", formulazione che denuncia una sequenza di tentativi falliti e correzioni prompt-driven. Huntress rileva che il codice era "messy, over-engineered, and filled with AI hallmarks like left-behind comments".

La firma più evidente risiede in un placeholder non rimosso: "Server1.HR.local", copiato pari pari dall'output AI senza adattamento all'ambiente target. Questo dettaglio, condiviso da Infosecurity Magazine e CyberPress, indica un attaccante che ha eseguito il codice così come generato, senza competenze sufficienti per personalizzarlo. La fonte non identifica il LLM specifico impiegato.

Lo script implementava cinque metodi fallback distinti per localizzare il Domain Controller: risoluzione DNS, comando nltest, modulo ActiveDirectory PowerShell, variabile d'ambiente LOGONSERVER, e un valore hardcoded. Questa ridondanza sovra-ingegnerizzata è coerente con il pattern vibe-coding, dove il modello accumula stratificazioni di "robustezza" senza criterio architetturale. L'output includeva dati esportati in CSV e un report HTML con formattazione colorata console — elemento estetico tipico delle generazioni AI.

La catena d'attacco: da RDP a exfiltrazione in 30 minuti

Huntress ha ricostruito la sequenza completa. L'accesso iniziale è avvenuto tramite sessione RDP con credenziali compromesse. Lo staging del payload è stato effettuato in C:\ProgramData, directory scelta per la relativa oscurità nell'ispezione ordinaria. L'esecuzione di Untitled1.ps1 è seguita "within minutes" dalla sessione RDP.

Dopo circa 30 minuti, il threat actor ha distribuito s5cmd.exe, tool di trasferimento dati per bucket Amazon S3, indicando una fase di exfiltrazione. La catena si è conclusa con SharpShares.exe per l'enumerazione di share di rete aggiuntive. Il dossier non specifica il volume dei dati effettivamente trasmessi né la natura dei contenuti esfiltrati. Resta ignoto come siano state ottenute le credenziali RDP iniziali.

"Vibe coding lowers the barrier to entry for cybercrime, allowing unsophisticated actors to generate highly capable, evasive tooling on the fly" — Huntress

Perché le signature non bastano più: il paradosso della detection

Il caso illustra una tensione tecnica centrale. Lo script era one-of-a-kind: hash e firme statiche erano inutili perché improbabile che quella specifica forma ricomparisse. Huntress afferma esplicitamente che l'AI non cambia il gioco nel senso più profondo: le azioni malevoli restano identificabili indipendentemente dalla variabilità del codice che le implementa.

La telemetria SIEM ha catturato l'attività monitorando i pattern comportamentali di enumerazione — Get-ADUser, Get-ADComputer, Get-ADGroup, Get-ADOrganizationalUnit, Get-ADTrust — piuttosto che il file eseguito. CyberPress sottolinea che la "hybrid approach prioritises aggression and speed over stealth", e che la risposta difensiva deve abbracciare la behavioral analytics per intercettare le azioni sottostanti che nessun LLM può nascondere.

Questa lettura trova eco contestuale nel lavoro di McAfee Labs, che ha osservato indipendentemente campagne di vibe-coded malware a partire dal marzo 2026 — separate dall'incidente AD, con obiettivi di crypto-mining e furto credenziali. McAfee ha tracciato oltre 440 file zip e 48 varianti uniche di WinUpdateHelper.dll, con circa 4.500 dollari in wallet Bitcoin associati. Nessuna correlazione è dimostrata con l'attacco del 3 giugno, ma il dato corrobora la transizione del vibe coding da fenomeno teorico a arma operativa.

Cosa fare adesso

Le fonti convergenti indicano quattro direzioni prioritarie per le organizzazioni con ambienti Active Directory:

• Implementare logging esteso PowerShell (Event ID 4104/4105) con forwarding centralizzato su SIEM, per catturare scriptblock execution e ricostruire payload anche quando i file non persistono su disco
• Monitorare le operazioni di enumerazione AD come pattern comportamentali indipendenti dal codice eseguito: Get-ADUser, Get-ADComputer, Get-ADGroup e varianti in sequenza ravvicinata devono generare alert anche senza matching signature
• Applicare controlli su RDP con autenticazione a più fattori e network-level authentication, dato che l'accesso iniziale documentato sfrutta credenziali compromesse senza tecniche di exploit
• Valutare il deploy di behavioral analytics in grado di correlare azioni su AD con tool di staging (s5cmd.exe, SharpShares.exe) e directory come C:\ProgramData in tempistiche sospette

Il vero scenario: medio livello, tooling elevato

Huntress descrive l'attaccante come "mediocre" — un operatore non sofisticato potenziato da tooling AI. Questa distinzione è cruciale: il pericolo non sta nell'intelligenza artificiale che "hackerda" autonomamente, ma nell'abbassamento della soglia di competenza richiesta per produrre codice funzionale ed evasivo. Il risultato è un'inflazione di threat actor capaci di azioni precedentemente riservate a gruppi più strutturati, con un footprint che la difesa deve imparare a leggere al di là della statica del file.

Il messaggio per il settore è che la formazione dei difensori e la progettazione dei controlli devono anticipare un contesto in cui il codice malevolo è infinitamente variabile ma il comportamento rimane categorizzabile. La detection del futuro guarda al "come", non al "cosa".

Fonti

• https://www.infosecurity-magazine.com/news/vibe-coded-malware-ai-powershell/
• https://www.huntress.com/blog/ai-coded-malware-vibe-coding-active-directory
• https://www.mcafee.com/blogs/other-blogs/mcafee-labs/ai-written-malware-vibe-coded-campaign/
• https://nvd.nist.gov/vuln/detail/CVE-2026-50656
• https://cyberpress.org/ai-coded-vibe-coding-map-active-directory/
• https://thehackernews.com/2026/03/weekly-recap-qualcomm-0-day-ios-exploit.html
• https://nvd.nist.gov/vuln
• https://nvd.nist.gov/vuln/search
• https://nvd.nist.gov/vuln/categories
• https://nvd.nist.gov/vuln/data-feeds
• https://nvd.nist.gov/vuln/vendor-comments

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti