记一次ai投毒【慎用中转】

• 环境：中转

上述情况出现在我使用ai开发的一个小工具，复盘代码时，无意中发现文件开头有一行 # auto-generated; do not edit，而且位置还在 import 之前，而且内容还是乱码，和开发内容无关，按照现有的ai生成风格，一定不会生成这种内容。

于是丢给ai分析这段代码多看了一眼才发现，脚本根本不是普通工具，而是隐藏了Base64编码的下载地址，会偷偷调用PowerShell下载并执行远程EXE。

后续威胁检测也证实相关URL已被多家安全引擎标记为恶意。

1. 
   

   IP 196.251.107.186：已被多家安全机构标记为Amadey僵尸网络的指挥与控制（C2）服务器。它托管在德国，而uniform_4.44_INSTALL.exe和clpr6.exe等文件就是从这类服务器下载的恶意载荷。安全厂商ESET透露，Amadey正是通过这类C2服务器向受害电脑源源不断地投递病毒。

   
   


2. 
   

   IP 62.60.226.232：与上述IP同属恶意载荷投递链路。它下载的2.7.exe，也是Amadey攻击链中常见的下一阶段恶意程序。恶意软件家族 "Amadey"：这是一个“恶意软件即服务”平台，专门用来入侵电脑并投放勒索软件、窃密木马等后续攻击，2018年活跃至今。脚本正是Amadey攻击链的第一步：连接到它的C2服务器，然后下载并执行真正的病毒。

   
   

之后，在虚拟机复现之后还发现这段代码还会自动把你的机器变成矿机进行挖矿，中转站用户庞大，各位使用中转站的朋友真得注意起来了 ^-^

至于曝光中转站，说实话，意义不大。中转这东西本来就是高风险。你曝光一个，别人马上换域名、换接口，换个壳继续干，根本堵不住 ^-^ ，而且再加上我这次发现的早，也没什么损失。所以最好的办法就是能用官方的尽量用官方的