Хакеры превратили инструмент для проверки безопасности AntiFox в средство кражи облачных секретов. С серверов Alibaba Cloud злоумышленники атаковали веб-приложения и инфраструктуру Amazon Web Services (AWS), а в одном случае за полчаса отправили сотни запросов к облачным сервисам.
Специалисты Arctic Wolf Labs обнаружили несколько вторжений, связанных с серверами, на которых работали интерфейсы AntiFox. Платформа позволяет запускать ИИ-агентов для поиска доступных сервисов, изучения уязвимостей и автоматизации пентестов. AntiFox распространяется с открытым кодом, имеет китайскоязычную консоль и создана на основе проекта ARTEX 0.1.1.
В одном эпизоде атакующие проникли на доступный из интернета сервер Microsoft IIS и разместили ASPX-веб-шелл. Через вредоносный сценарий злоумышленники выполняли системные команды, изучали каталоги приложения и извлекали из конфигурации параметры подключения к базам данных. Затем служебные файлы и журналы скопировали в каталог, доступный через веб.
Другая часть атак затронула AWS. Преступники обращались к облачным API от имени действующих пользователей IAM, а иногда использовали роли виртуальных машин EC2. За примерно 30 минут один оператор перебрал несколько учётных записей и отправил сотни запросов к различным сервисам. Большинство операций отклонили, однако некоторые запросы завершились успешно.
Среди успешных действий исследователи обнаружили доступ к рабочим секретам через AWS Secrets Manager. В отдельном эпизоде обладатель действующих облачных полномочий смог читать, копировать и удалять объекты в Amazon S3. Подтверждений взлома самой платформы AWS нет. Речь идёт о злоупотреблении доступом, полученным через учётные данные клиентов.
Инфраструктуру связывают с AntiFox по открытым административным интерфейсам на атакующих серверах Alibaba Cloud. Однако наличие консоли не доказывает, что каждый запрос или команда выполнялись автономным ИИ-агентом. Исследователи также не назвали конкретную группировку, число пострадавших организаций и уязвимость, через которую проникли на сервер IIS.
В техническом разборе Arctic Wolf перечислены адреса 47.79.4.33 и 8.208.101.210, а также признаки подозрительной работы с AWS. Среди них последовательные вызовы ListSecrets и GetSecretValue, перебор облачных ресурсов и успешные операции после многочисленных отказов. Администраторам советуют сопоставлять журналы CloudTrail с событиями на веб-серверах.
Отдельного внимания требуют случаи, когда процесс IIS w3wp.exe запускает cmd.exe или PowerShell, а в веб-каталогах возникают неизвестные ASPX-файлы. При подтверждённом взломе недостаточно удалить веб-шелл. Нужно отозвать затронутые сеансы, сменить ключи, проверить права облачных учётных записей и выяснить, какие секреты успели прочитать атакующие.
