Зловмисники використовують інструмент AntiFox для атак на сервіси AWS

Кіберзлочинці використовують платформу AntiFox, що базується на штучному інтелекті, для здійснення атак на інфраструктуру Amazon Web Services (AWS) та зовнішні вебсервіси. Інструмент, який спочатку створювався як засіб для тестування на проникнення, тепер застосовується для виявлення вразливостей, розгортання веб-оболонок та викрадення секретних ключів. Дослідники компанії Arctic Wolf виявили, що зловмисники розміщують інфраструктуру AntiFox на серверах Alibaba Cloud, звідки вони здійснюють автентифіковані запити до API AWS, використовуючи легітимні облікові дані користувачів та ролі EC2.

Про це повідомляє BleepingComputer

За даними Arctic Wolf, зловмисники успішно реалізували кілька атак, зокрема розгортання ASPX-оболонки на сервері IIS для виконання команд та доступу до бази даних. В одному з випадків було зафіксовано сотні запитів до API протягом 30 хвилин, що дозволило зловмисникам отримати доступ до секретів продуктивного середовища та маніпулювати об’єктами в хмарному сховищі S3.

У кількох нещодавно помічених вторгненнях системи Alibaba Cloud, на яких розміщувалися інтерфейси AntiFox, були пов’язані з підтвердженими зловмисними діями проти вебсервісів, доступних через інтернет, та відповідних середовищ AWS.

— Arctic Wolf

Ці інциденти з використанням AntiFox слідують за попередніми випадками застосування іншого інструменту — ARTEX AI, який раніше пов’язували з атаками на південнокорейські банки та кампаніями кібершпигунства китайської групи Vapor Panda. Попри те, що розробники AntiFox офіційно забороняють використання свого продукту для незаконної діяльності, програмне забезпечення не має вбудованих технічних засобів контролю для запобігання зловживанням.

Для захисту систем фахівці рекомендують організаціям відкликати скомпрометовані сесії AWS, проводити ротацію витокових облікових даних та ретельно аналізувати успішні виклики API, що відбуваються разом із численними відмовами в доступі.