夜雨聆风
AI 写的勒索软件，已经绕过 Sophos、CrowdStrike、Defender 了
黑客用 Claude Opus + Cursor 自动写勒索工具，70 种 EDR 绕过技术，迭代几轮后几乎全过。这不是未来，是现在。
事情有多大？
6 月 2 日，Sophos 的研究人员发布了一份让人后背发凉的报告：一个勒索软件犯罪团伙，正在用 AI 自动开发攻击工具，并且已经成功绕过了主流 EDR 解决方案的检测。
这不是某个安全研究员的 POC 演示，也不是红队工具的开源项目。这是正在进行的真实网络犯罪活动——Sophos 在客户环境中发现了这个工具包的运行痕迹，攻击者已经用它实施了勒索软件攻击，受害组织的信息甚至出现在勒索数据泄露网站上。
简单说：AI 已经把勒索软件开发的门槛砸到了地板上。
攻击框架长什么样？
Sophos 在受感染主机上发现了一整套完整的攻击基础设施：
1. 多角色 AI Agent 协作体系
整个框架有多个 AI Agent，每个分工明确：
▪Claude Opus 4.5 担任总协调员，控制研发流程
▪其他 Agent 分别负责：测试、OPSEC 加固、文档编写、代理压力测试、虚拟机部署
▪Agent 之间通过迭代方式协作：收集观察 → 选择下一步行动 → 委派远程 Agent → 重新评估结果
2. 自动化 AD 发现模块
一套基于 Python 的 Active Directory 自动发现面板，采用迭代式方法：
▪从已完成的任务中收集观察结果
▪从预定义选项中选择下一步行动
▪委派给远程 Agent 执行
▪循环往复，直到完成整个 AD 侦察
3. EDR 对抗实验室
这是最核心的部分。攻击者搭建了一个完整的测试实验室：
▪针对 Sophos、CrowdStrike、Microsoft Defender 三大 EDR 进行对抗测试
▪近 80 个模块被生成并测试，覆盖了 70 多种绕过技术
▪主要使用 Rust 和 Go 生成 payload
▪采用模块化 Windows payload loader generator，将原始 payload 包裹在多层加密、绕过和替代执行技术中
4. 隐蔽的 C2 基础设施
▪Cobalt Strike profiles，让 beacon 流量伪装成正常 Web 请求
▪基于 Telegram Bot API 的外部 C2 机制，通过 Telegram 基础设施路由通信
▪Python 脚本将 shellcode 注入合法 Windows 可执行文件，同时保留原始功能
▪Cloudflare Worker 作为前端重定向器，隐藏真实的后端 C2 服务器
关键发现：AI 不是万能的，但迭代是致命的
Sophos 的研究揭示了一个重要事实：AI 本身并没有被嵌入到已部署的恶意软件中。AI 的作用不是让恶意软件"变聪明"，而是大幅缩短从安全研究发布到实际利用的时间窗口。
具体流程是这样的：
①Agent 从 Kaspersky、Palo Alto Networks、Bishop Fox、SpecterOps 等机构的安全研究中提取绕过技术
②将这些技术映射到 MITRE ATT&CK 知识库
③识别复现所需条件
④准备测试环境
⑤执行技术并报告结果
⑥迭代优化，直到绕过 EDR
初始阶段的失败率确实很高，但经过几轮迭代后，生成的模块几乎绕过了所有测试的 EDR 解决方案。
"这个模块化的 Windows payload loader 生成器将原始 payload 包裹在多层加密、绕过和替代执行技术中，产生定制的可执行文件或 DLL，旨在抵抗沙箱、杀毒软件和 EDR 检测。"
—— Sophos 研究报告
为什么这件事值得所有人紧张？
1. 攻击者不再需要深厚的技术功底
过去，要绕过主流 EDR 需要顶级的逆向工程能力和多年的经验积累。现在？一个会写提示词的脚本小子，借助 AI 就能完成过去需要整个红队团队才能做的事。
2. 安全研究发布 = 攻击者菜谱
每次安全公司发布绕过技术的研究，过去是行业共享的知识进步。现在，这些研究会被 AI Agent 自动抓取、分析、复现，然后变成攻击者的武器。安全研究的"保鲜期"正在急剧缩短。
3. 传统防御体系面临根本性挑战
基于特征码、行为规则的 EDR 方案，面对 AI 生成的定制化 payload，防御效果正在快速下降。每个 payload 都是独一无二的，传统签名检测几乎失效。
4. 犯罪门槛降低 = 攻击数量暴增
当开发恶意软件的成本趋近于零，攻击者的数量会呈指数级增长。这不是理论推演，是正在发生的现实。
你现在该做什么？（可执行清单）
立即检查（今天就能做）
1. 检查你的 EDR 是否开启了行为检测
不要只看有没有最新病毒库。检查 EDR 的行为检测引擎是否启用：
# Windows Defender 检查行为检测状态
Get-MpComputerStatus | Select-Object BehaviorScanEnable, OnAccessProtectionEnable
# 确认实时保护开启
Get-MpPreference | Select-Object DisableRealtimeMonitoring
# 返回 False 表示实时保护已开启2. 启用 EDR 的自动隔离模式
# Windows Defender 自动隔离可疑文件
Set-MpPreference -BlockAtRiskAppsEnabled $true
Set-MpPreference -LowThrottleDefaultAction 4 # 自动隔离低威胁3. 检查 AD 账户异常活动
# 检查最近 24 小时内的异常登录
Get-WinEvent -FilterHashtable @{LogName='Security';ID=4625} -MaxEvents 100 |
Where-Object {$_.TimeCreated -gt (Get-Date).AddHours(-24)} |
Select-Object TimeCreated, Message4. 审查 PowerShell 执行策略
# 检查当前策略
Get-ExecutionPolicy -List
# 建议设置为 RemoteSigned 或 AllSigned
Set-ExecutionPolicy RemoteSigned -Scope LocalMachine本周内完成
5. 启用应用程序控制
▪Windows: 启用 Defender Application Control (WDAC)
▪Linux: 启用 AppArmor 或 SELinux 强制模式
▪只允许白名单内的程序运行
6. 网络分段检查
确保关键服务器（域控、数据库、文件服务器）之间有网络隔离，防止攻击者横向移动。
7. 备份验证
▪确认备份是离线或不可变的
▪执行一次恢复测试，确保备份可用
▪检查备份是否覆盖了所有关键系统
本月内推进
8. 部署零信任架构
▪所有访问都需要身份验证和授权
▪最小权限原则，不默认信任任何内部流量
▪微分段，限制东西向流量
9. 安全培训升级
▪针对 AI 驱动的社会工程学攻击进行专项培训
▪模拟钓鱼演练，重点测试对 AI 生成内容的识别能力
▪建立异常行为报告机制
10. 威胁情报订阅
▪订阅 MITRE ATT&CK 最新战术更新
▪关注 CISA 的已知被利用漏洞列表 (KEV)
▪加入行业信息共享组织 (ISAC)
写在最后
AI 正在改变网络安全的游戏规则。攻击者用它来加速武器开发，防御者也需要用它来加速威胁检测和响应。
这不是危言耸听。 Sophos 的报告清楚地表明：AI 驱动的勒索软件已经走出了实验室，进入了真实的攻击行动。你的 EDR 可能正在面对一个永远不会停止迭代的对手。
唯一能做的就是行动。 今天检查你的 EDR 配置，本周完成备份验证，本月推进零信任。每一层防御都能增加攻击者的成本，而成本，是阻止犯罪最有效的武器。
来源：Sophos "AI-built ransomware toolkit automates EDR evasion, AD discovery" (2026-06-02) | BleepingComputer
编辑：星期五 | 数据织梦安全研究团队
持续输出高质量安全内容
想继续交流漏洞分析、攻防实践和文章里的细节补充，欢迎扫码进群。
群内会不定期分享复现思路、工具经验和最新讨论。
扫码即可加入交流，二维码失效可在后台回复「加群」。
也欢迎直接反馈你想看的后续选题
