文章总结： 该文档披露法语系犯罪组织blackhatsect0r利用开源AIagent结合DeepSeek模型，对公网72万台主机进行自动化扫描，窃取1.6万条凭证。攻击依赖暴露的.env文件、云存储配置错误等低级漏洞，而非0day。AI降低了攻击门槛，使小团伙能高效运作。建议运维人员立即检查暴露面、关闭调试端点、轮换密钥。
综合评分： 88
文章分类： 威胁情报,恶意软件,实战经验,红队,安全运营
黑客用DeepSeek扫了72万台主机，偷走1.6万个密码
原创
v3n0m
v3n0m
v3n0m
2026年9月25日 21:16
天津
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
绿盟威胁情报中心和SocRadar 9月中旬披露了一个叫法文系网络犯罪组织BlackHatSect0r（别名DXQRTXX）的案子。这个组织没有用什么0day，就是拿一个开源AI Agent加DeepSeek模型，在公网上跑自动化扫描。
研究人员在调查过程中找到了这个组织自己暴露在公网上的一台作业服务器。这台服务器没加任何访问控制，4.9GB数据、9299个文件，整个犯罪后台全摊在外面了。里面包括他们自己写的Go扫描器、16834条偷来的凭证、针对四个纽约公共机构的勒索工具包、专门骗老年人的银行钓鱼页面，还有操作者本人的shell历史。
换句话说，我们不是从外面推测他们怎么干的，是从他们自己的服务器里直接把作战记录抄出来的。
先认识一下这个组织
BlackHatSect0r不是什么散兵游勇。ESSGroup的报告里写得很清楚：这是一个法语系犯罪团伙，13个公开成员，公开跟APT-90结盟。他们在Telegram上直接发自己的组织结构图，业务横跨四块：金融盗窃、数据转卖、勒索、还有黑客行动主义。
团伙的大头目叫El Professor 999，内部人叫他”父亲”和”解放者”。他们用两台AlexHost SRL的VPS跑业务。目标覆盖金融机构、政府系统、加密货币平台和普通互联网基础设施。ThreatMon从那台暴露服务器里恢复出来的目标数据库，横跨多个国家，不是只盯着某一个行业打。
这种半公开运作的风格，跟过去躲在暗网里的老派犯罪组织不一样。他们敢在Telegram上发组织架构图，敢公开结盟，说明他们对被抓这件事的恐惧没那么大。而这次他们暴露服务器被抄，纯粹是自己配置错误，不是被执法部门端的。
扫描器到底跑多快
先看数字。这个组织自己的服务器记录显示，他们排队扫了2759860个域名，实际触达726989台公网主机，生成了超过137万个IP地址。
具体速度：DXScan每10秒钟生成约1200个随机IP地址，也就是每秒120个。它挨个探80、443、8080这三个常见Web端口，识别跑的是什么Web软件，然后内置超过200种凭证匹配规则，扫到配置文件就正则一把梭。
这个速度什么概念？一天24小时不停，理论上能扫掉1000万个IP。公网IPv4地址总共才43亿个，按这个速度，一个组织不到三年能把整个互联网扫一遍。他们还并行开了多个后台worker，多线程跑，不用人盯着。
凭证库的增长曲线也很说明问题。8月11日他们库里有16415条记录，到8月18日变成16834条。一周净增419条，平均每天60条有效凭证入账。这个数字不大，但架不住它是机器24小时自己跑出来的，不需要人加班。
偷走的都是什么凭证
16834条凭证不是一堆密码文件，是分类整理好的。研究人员从那台暴露服务器里导出后按类型分了类：通用密钥、数据库连接串、SMTP凭证、各种API key、AWS云密钥、GitHub token、Stripe支付密钥。
里面有一组数字特别值得注意：他们一共找到230个SMTP配置，其中82个经过验证能用，已经被单独挑出来准备当钓鱼中继用。SMTP服务器被控制之后，攻击者可以拿你的域名发钓鱼邮件，SPF/DKIM记录都通过，收件方邮箱服务器一看是你们公司发的，直接进收件箱。这82个中继是已经实测过、能发信的。
他们还维护了一个大约49.8万个URL的目标数据集，等着后续侦察和利用。研究人员在里面看到了大量子域名枚举结果，说明这个组织不是瞎扫，是扫到一个公司之后会顺着子域名继续往下挖。
AI这层到底怎么接的
DXScan是个死的扫描器，它只会按规则跑。真正让这件事跟以前不一样的，是上面那层AI。
他们用的是Nous Research开源的Hermes Agent。这是一个终端访问Agent框架，本来是给开发者接各种大模型当AI终端助手用的。黑产把它接上DeepSeek模型，DeepSeek负责当推理引擎：DXScan扫到一个可疑端点，把页面内容喂给DeepSeek，DeepSeek判断这是不是有效凭证、值不值得进一步打、下一步该往哪个目录钻、用什么姿势利用。
然后他们开了Yolo模式。这个模式在Hermes官方文档里写得明明白白：启动时加–yolo参数，或者会话里输入/yolo，或者设环境变量HERMES_YOLO_MODE=1，它就跳过所有危险命令的人工确认，自己觉得该执行什么就执行什么。文档原话建议”只在可信沙箱环境里用”。
光开Yolo还不够。研究者在那台暴露服务器的shell历史里，找到了操作者本人执行的命令记录：他改了Hermes Agent的内存文件和身份文件，把模型内置的拒绝回答记忆给删了。Hermes Agent本身带了一组red-teaming技能，其中一个叫godmode，专门用来对不同大模型做越狱提示词。DeepSeek的输入分类器是基于关键词的，他们用Parseltongue那种混淆方式绕过去，让DeepSeek不再对”帮我写个扫描脚本””帮我判断这个密钥能不能登录”这类问题说不。
这不是孤例。7月份BleepingComputer就报过，有人用同样的Hermes加–yolo模式入侵了泰国财政部，进去之后Agent自己扫内核漏洞、跑LinPEAS提权、爬从2012年开始的人事档案、探Hadoop集群。那次是有人在shell历史里留下了Hermes的输出日志才被发现的。
他们找的都是低级错误
把整个案子拆开看，最让人不舒服的一点是：DXScan扫的没有一样是高级漏洞。
第一类是暴露在公网的.env文件。就是项目根目录那个写数据库密码、API key的文件。很多人部署时Nginx配错，把dot文件也对外提供了；或者CI打包时把.env打进了静态目录。DXScan直接GET下来正则匹配。
第二类是云存储bucket没设权限。AWS S3、阿里云OSS这些，开了public-read，里面堆着配置备份。DXScan识别到这类bucket直接列目录下载。
第三类是暴露的调试和actuator端点。Spring Boot的/actuator/env能直接看到所有环境变量，Django DEBUG=True会把堆栈里的密钥打印出来。这些在生产环境开着，等于把后台密码贴在大门上。
第四类是前端bundle里硬编码的密钥。JS打包文件拉下来一搜，API key、Stripe publishable key甚至后端secret都在里面。DXScan内置了这类匹配规则。
第五类是默认或者弱密钥。DXScan内置了常见默认签名密钥字典，扫到一个框架先试默认密钥，能登就收。
跟以前比，门槛降在哪
这种扫公网找配置错误的活，Shodan和Censys早就在做。那为什么这次要单独写？
过去这件事需要一个有经验的安全分析员。他得自己写规则，判断扫到的页面是不是真的泄露了密钥，试出来的凭证能不能真的登录，扫下一个目标该往哪走。这种判断是需要人的。
现在DeepSeek把这部分判断接了。DXScan负责按规则扫，扫到可疑页面交给DeepSeek看，DeepSeek输出：这是真密钥，值得打；这是测试数据，跳过；这个端点还能往下钻，去试一下/admin。操作者只需要在Telegram上偶尔看一眼报告，开了Yolo模式之后连确认都不用。
整个工具栈的成本：DeepSeek API很便宜，Hermes Agent开源免费，DXScan是他们自己写的Go程序跑在AlexHost的VPS上。加起来比雇一个初级安全工程师便宜两个数量级。一个13人的法语小团伙，就能在一周内扫72万台主机。
你现在该查什么
如果你是后端或者运维，看完这个案子现在就该动手。
第一，去Shodan、Censys、FOFA上搜自己的域名和IP段，看看暴露了什么。很多人不知道自己调试端点已经被搜索引擎收录了。
第二，确认.env、.git这些dot文件没有被Web服务器对外提供。Nginx配置里记得location ~ /. { deny all; }。
第三，生产环境把Spring Boot actuator、Django DEBUG、各种框架调试工具栏全关了。真需要排障走内网跳板。
第四，云存储bucket默认设private，别手滑开public。前端代码里不出现任何secret，公开的API key也走后端代理。
第五，SMTP账号和数据库账号定期轮换，别一个密钥用三年。这次被收走的16834条里，有多少是几年没换过的老密钥，你猜得到。
写在最后
这个案子最值得警惕的不是BlackHatSect0r有多高明。他们用的全是十年前就存在的老毛病，没有一个是0day。
真正变的是，过去需要一个安全团队干的侦察、判断、利用决策，现在一个开源Agent加DeepSeek就能干。扫描器每秒120个IP地跑，AI在旁边判断哪些值得打，人只需要偶尔在Telegram上看一眼报告。
防守方这边，大多数团队还在按月做一次漏洞扫描。人家AI一天扫72万台，你一个月查一次。这个速度差，就是这次事件真正的信号。
DeepSeek在这件事里是被动的，开源模型你拦不住人拿去犯罪。但Hermes Agent的Yolo模式、godmode技能、对不同模型的越狱提示词库，现在已经明明白白写在开源仓库里，任何想干这件事的人都能照着抄。这次暴露的是BlackHatSect0r，下一个可能就是某个你没听过的小团伙。
现在去查你的.env，还来得及。等他们那120个IP每秒的扫描器转到你，就晚了。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：v3n0m v3n0m
v3n0m《黑客用DeepSeek扫了72万台主机，偷走1.6万个密码》