Gentlemen 勒索软件附属团伙在真实入侵中用 MCP 作命令控制通道
Gentlemen Ransomware Affiliate Uses MCP as C2 Channel in Live Cyberattacks
AI 导读
CloudSEK 调查发现，一名讲俄语的 Gentlemen 勒索软件附属成员在真实入侵中利用 Model Context Protocol（MCP）执行命令，把 AI 编码助手的工具接口变成命令控制通道。证据来自脚本 va.py，它通过绑定在 127.0.0.1:35367 的 MCP 服务调用 exec_in_session，用固定 bearer token 认证，并在受害环境中执行基于 SSH 的验证命令，覆盖登录提示、家目录勒索信、SSH banner、PostgreSQL 配置、pgAdmin 模板以及受害者的 GitLab 仓库和 issue tracker 等八个位置。CloudSEK 称这是 MCP exec_in_session 被滥用于犯罪活动的确认案例，但不代表 MCP 本身存在新发现的软件漏洞被利用。
阅读原文