Güvenlik araştırmacılarına göre saldırganlar, web hizmetlerini ve Amazon Web Services (AWS) ortamlarını hedeflemek için Alibaba Cloud üzerinde barındırılan, kendi yönettikleri AntiFox kurulumlarını kullanıyor.
Arctic Wolf, AntiFox ile bağlantılı altyapının geçerli kimliklerle, IAM kullanıcıları ve bazı durumlarda varsayılan EC2 rolleri üzerinden kimliği doğrulanmış AWS API istekleri yaptığını gözlemledi. Araştırmacılara göre bu altyapı ayrıca güvenlik açığı istismarı, web kabuğu dağıtımı, kimlik bilgilerini doğrulama, yapılandırma keşfi ve AWS gizli bilgilerinin ele geçirilmesi için kullanıldı.
Bir vakada saldırgan, internete açık bir IIS sunucusuna ASPX web kabuğu kurdu, işletim sistemi komutları çalıştırdı, uygulama ayarlarına ve veritabanı bağlantı dizelerine erişti, yapılandırma ve günlük dosyalarını web üzerinden erişilebilen bir dizine kopyaladı. Ardından geçerli IAM kimlik bilgileri ve EC2 rolleriyle AWS uç noktalarını yokladı. Araştırmacıların aktardığı bir saldırıda saldırgan birden fazla kimlik arasında geçiş yaparak yaklaşık 30 dakika içinde yüzlerce API isteği gönderdi. Denemelerin çoğu engellendi; ancak bazıları başarılı oldu ve üretim sırları ele geçirildi. Araştırmacılar, ayrı bir olayda saldırganların geçerli bir AWS kimliğiyle S3 nesnelerini okuduğunu, kopyaladığını ve sildiğini belirtiyor.
AntiFox, ARTEX 0.1.1'in bir çatalı olarak başladı ve sızma testi görevlerini otomatikleştirmek üzere yapay zekâ ajanları dağıtmak için Çince bir arayüz sunuyor. Araç GitHub'da erişilebilir durumda ve bulguların belgelenmesi ile raporlanmasını iyileştiren 2.0 sürümüne güncellendi. Yayıncıları aracın canlı sistemlerde ve yasa dışı ya da yıkıcı faaliyetlerde kullanılmasını yasaklıyor; ancak kaynakta bu kısıtlamaları uygulayan teknik denetimlerden söz edilmiyor.
Yorumlar
0Henüz yorum yok. İlk yorumu siz yazın.