Rapid7 afslører AI-phishing-kit bag Mexico WebDAV-angreb

Sikkerhedsforskere hos Rapid7 har trukket tæppet væk fra, hvordan moderne phishing-operationer er bygget op, efter at de opdagede en eksponeret server med 1.048 filer knyttet til en aktiv kampagne rettet mod ofre i Mexico. Fundet forbinder en AI-understøttet phishing-pipeline direkte med malware leveret via WebDAV, en protokol, de fleste aldrig har hørt om, men som angribere i stigende grad bruger til at snige ondsindede filer forbi forsvarsmekanismer.

Opdagelsen er mindre vigtig på grund af antallet af ofre og mere på grund af, hvad den afslører: en fungerende plan for, hvordan generative AI-værktøjer nu er indlejret i phishing-forsyningskæden, fra udarbejdelse af lokkemidler til levering af nyttelast.

Hvad Rapid7 fandt på den eksponerede server

Ifølge Rapid7's undersøgelse var den eksponerede server ikke sikret, som en operationel angrebsinfrastruktur burde være. Den fejlkonfiguration gjorde det muligt for forskerne at indsamle 1.048 filer, i praksis et øjebliksbillede af den værktøjskasse, en operatør brugte til at køre en aktiv phishing- og malwarekampagne rettet mod mål i Mexico.

Eksponerede command-and-control- eller staging-servere er ikke usædvanlige i trusselsintelligens-verdenen. Angribere begår fejl ligesom forsvarere, og når de efterlader en server åben, får forskere et sjældent indblik i maskineriet bag en kampagne i stedet for blot dens efterveer. I dette tilfælde omfattede maskineriet beviser på en AI-understøttet phishing-pipeline, hvilket betyder, at operatørerne brugte store sprogmodelværktøjer et eller andet sted i processen med at bygge eller forfine deres lokkemidler.

Inde i den AI-understøttede phishing-pipeline

Brugen af AI i phishing er ikke en ny teori; det er blevet et dokumenteret mønster på tværs af flere kampagner i år. Det, der gør Rapid7's resultater bemærkelsesværdige, er den direkte forbindelse mellem en LLM-understøttet indholdspipeline og en fungerende malware-leveringskæde bygget på WebDAV, snarere end blot isolerede eksempler på AI-genererede phishing-e-mails.

Dette afspejler et bredere skifte, der er dokumenteret på tværs af branchen. Kampagner som VENOMOUS#HELPER, der kompromitterede mere end 80 amerikanske organisationer ved hjælp af legitime fjernovervågnings- og administrationsværktøjer, viste, hvordan angribere i stigende grad støtter sig til pålidelig, dagligdags teknologi for at undgå opdagelse. AI-understøttet indholdsgenerering passer ind i samme logik: det giver angribere mulighed for at producere overbevisende, velskrevede, lokaliserede lokkemidler i stor skala uden at have brug for flydende sprogkundskaber eller stor manuel indsats, hvilket sænker kompetencebarrieren for at køre en troværdig kampagne.

Hvorfor WebDAV er den foretrukne leveringsmekanisme

WebDAV (Web Distributed Authoring and Versioning) er en protokol, der giver brugere mulighed for at administrere og redigere filer på en ekstern webserver, ligesom et delt netværksdrev, der tilgås via HTTP. Fordi det er indbygget i Windows og bredt anvendt i legitime forretningsmiljøer, vækker trafik til WebDAV-servere ikke altid mistanke, som en ukendt eksekverbar filoverførsel måske ville.

Netop den fortrolighed gør det attraktivt for angribere. En ondsindet fil, der hostes på en WebDAV-deling, kan henvises til i en phishing-e-mail eller et dokument på en måde, der ligner rutinemæssig filadgang, hvilket hjælper nyttelasten med at snige sig forbi brugere og i nogle tilfælde sikkerhedsværktøjer, der ikke er indstillet til at granske WebDAV-forbindelser nøje.

Dette passer ind i et mønster, der er set på tværs af årets større hændelser. Som Verizons 2026 Data Breach Investigations Report bemærkede, har softwarefejl overhalet adgangskoder som den primære indgangsvej for brud, men social engineering og misbrug af betroede protokoller forbliver kritiske ledsagetaktikker, der får angribere forbi den første forsvarslinje, før nogen teknisk udnyttelse kommer i spil.

Hvad dette betyder for dig

Hvis du er i Mexico eller arbejder med organisationer, der opererer der, er denne kampagne en direkte påmindelse om at behandle uventede fildelingslinks og login-anmodninger med mistanke, selv når de ser polerede og professionelle ud. AI-understøttet phishing-indhold er specifikt designet til at fjerne de grammatik- og tonefejl, der tidligere var et pålideligt advarselssignal.

For alle andre er den bredere lære, at phishing-kits udvikler sig hurtigere end de fleste individuelle brugeres instinkter for at spotte dem. Oversigten over større cyberangreb i 2026 viser et gennemgående tema: angribere professionaliserer deres værktøjer, ofte hurtigere end de organisationer, der forsvarer sig mod dem, kan tilpasse deres træning og detektion.

Praktiske råd

• Vær på vagt over for uventede fildelings- eller dokumentlinks, selvom e-mailen eller beskeden ser velskrevet og legitim ud.
• Bekræft usædvanlige anmodninger om at åbne delte filer via en anden kanal, f.eks. et telefonopkald eller en separat beskedapp, før du klikker.
• Hold endpoint-sikkerhed og e-mailfiltreringsværktøjer opdaterede, da WebDAV-baseret levering kan omgå forsvarsmekanismer, der kun er indstillet til almindelige vedhæftningstyper.
• Virksomheder bør revidere, hvilke protokoller, herunder WebDAV, der er tilladt gennem deres netværk, og begrænse adgangen, hvor det ikke er operationelt nødvendigt.
• Hold dig informeret om, hvordan AI-understøttede phishing-teknikker udvikler sig, da forbedringen og personaliseringen af lokkemidler sandsynligvis vil fortsætte med at blive bedre.

Den eksponerede server, som Rapid7 afdækkede, giver et sjældent, konkret indblik i, hvordan AI-værktøjer bliver indarbejdet i virkelige phishing-operationer i stedet for at forblive en teoretisk risiko. At forstå, hvordan disse AI-understøttede phishing-kampagner er bygget op, er det første skridt mod at genkende dem, før det lykkes.