Säkerhetsforskare uppger att angripare använder självhanterade AntiFox-installationer på Alibaba Cloud för att rikta in sig på webbtjänster och Amazon Web Services-miljöer (AWS).
Arctic Wolf observerade AntiFox-kopplad infrastruktur som gjorde autentiserade AWS API-anrop med giltiga identiteter, däribland IAM-användare och i vissa fall antagna EC2-roller. Enligt forskarna användes infrastrukturen också för att utnyttja sårbarheter, placera webbskal, validera inloggningsuppgifter, kartlägga konfigurationer och hämta AWS-hemligheter.
I ett fall installerade en angripare ett ASPX-webbskal på en IIS-server som var exponerad mot internet, körde operativsystemkommandon, kom åt programinställningar och databasanslutningssträngar samt kopierade konfigurations- och loggfiler till en webbtillgänglig katalog. Angriparen använde sedan giltiga IAM-uppgifter och EC2-roller för att undersöka AWS-slutpunkter. Under ett intrång växlade angriparen mellan flera identiteter och gjorde hundratals API-anrop på cirka 30 minuter. De flesta försöken blockerades, men några lyckades och produktionshemligheter kom åt, uppger forskarna. I en separat incident använde angripare en giltig AWS-identitet för att läsa, kopiera och radera S3-objekt.
AntiFox började som en förgrening av ARTEX 0.1.1 och har ett kineskspråkigt gränssnitt för att driftsätta AI-agenter som automatiserar penetrationstestning. Verktyget finns fortfarande på GitHub och har uppdaterats till version 2.0, med förbättrad dokumentation och rapportering av resultat. Utgivarna förbjuder användning mot aktiva system och för olaglig eller destruktiv verksamhet, men enligt källan beskriver de inga tekniska kontroller som upprätthåller förbuden.
Kommentarer
0Inga kommentarer ännu. Skriv den första.