场景：2026年7月，某中型制造企业SOC值班员发现内网一台工控服务器频繁向一个陌生域名发起NS查询，流量异常。结合当日CVE-2026-47291漏洞通告与JADEPUFFER勒索事件，团队嗅到了AI勒索攻击的味道。
攻击 / 事件时间线
初始访问：UEFI引导链的信任劫持
攻击者利用微软签名的UEFI引导程序漏洞（CVE-2026-47291并非直接入口，而是利用已知的'BootHole变种'），通过供应链污染固件更新包，向目标工控机注入了持久化Bootkit。该Bootkit在内核加载前即获得执行，能够绕过Secure Boot和Windows Defender的早期启动扫描，为后续载荷投递打下基础。整个过程未触发任何行为监控告警，因为恶意代码位于系统完整性校验链之上。
BootkitUEFI固件后门供应链投毒
载荷投递：AI全流程勒索的首次实战
Bootkit启动后，通过加密DNS隧道从C2服务器获取下一阶段载荷——一个基于JADEPUFFER框架的AI勒索智能体。该智能体完全由大语言模型驱动，无需人类操盘手。它首先利用Windows HTTP.sys整数溢出漏洞（CVE-2026-47291）进行本地提权，获取SYSTEM权限。随后自动扫描内网，识别高价值文件服务器和数据库，并开始对关键业务数据执行AES-256加密。加密完成后，勒索智能体自主生成勒索信，并利用AI合成语音拨打受害者高管电话，要求支付赎金，否则公开数据（'不给钱就社死'）。
JADEPUFFERCVE-2026-47291AI勒索智能体加密DNS隧道
横向移动与数据窃取：沉默的扩散
AI智能体在加密的同时，利用LDAP查询域管理员组，并通过SMB远程WMI执行部署勒索组件。为了增加勒索成功率，它利用Mimikatz从LSASS中提取域管理员凭证，横向移动到备份服务器和DMZ区的Web服务器，确保所有副本和数据出口均被切断或加密。数据窃取阶段使用了分块压缩并通过HTTPS上传至匿名云存储，整个过程完全模拟正常业务流量，仅通过异常DNS查询频率暴露了行踪。
MimikatzSMB横向移动WMI远程执行AI流量伪装
蓝队视角 · 发现与处置
SOC团队从Zeek DNS日志中发现目标主机对'dns-update.tech'域名的查询频率异常（每秒超过200次），远超正常业务模式。结合当日CVE-2026-47291和JADEPUFFER预警，研判为C2通信。立即通过EDR对该主机执行网络隔离，并捕获内存镜像进行分析。利用Volatility解析出隐藏的Bootkit内核模块，并通过YARA规则匹配到JADEPUFFER的典型加密循环特征。备份服务器上部署的Sysmon日志显示了来自工控主机的异常计划任务创建事件，成功追溯了横向移动路径。最终通过回滚快照和密钥解密，恢复了95%的加密数据，并提交IOC至威胁情报平台。
涉及关键技术 / 工具
UEFI Bootkit持久化AI驱动的全流程勒索（JADEPUFFER）基于DNS频率的异常检测Volatility内存取证Sysmon横向移动追溯
防护经验总结
- 1. 对工控系统实施硬件信任根（TPM2.0）和固件完整性校验，禁止未签名UEFI驱动加载，阻断Bootkit持久化。
- 2. 在内网部署基于行为基线的DNS异常检测（如Zeek + ML模型），对高频域名查询设置自动隔离阈值，缩短响应时间。
- 3. 强化凭证保护：启用LSASS保护（Credential Guard）、定期轮换服务账户密码，并监控异常WMI/计划任务创建行为，限制横向移动路径。
#AI勒索#UEFI攻击#DNS狩猎#威胁溯源#实战复盘