AntiFox. Agent AI do pentestów użyty w atakach na AWS

Co ustalił Arctic Wolf

Arctic Wolf śledzi rosnące użycie samodzielnie hostowanych platform agentowych do pentestów, czyli narzędzi, w których agenci AI automatycznie wykonują kolejne kroki testu bezpieczeństwa. W kilku niedawnych włamaniach serwery w Alibaba Cloud z panelami AntiFox były powiązane z potwierdzonymi atakami na usługi wystawione do internetu i na powiązane konta AWS.

Ataki zaczynały się na dwa sposoby. W części przypadków napastnicy przejęli publiczną aplikację na serwerze IIS, czyli serwerze WWW Microsoftu. W innych od początku mieli ważne dane dostępowe do AWS, a badacze nie wiedzą, skąd je zdobyli.

Po wejściu na serwer IIS napastnicy utworzyli webshell, czyli plik pozwalający zdalnie wydawać polecenia. Odczytali ustawienia aplikacji i dane logowania do baz danych, a pliki konfiguracyjne i logi skopiowali do katalogu dostępnego z internetu.

Jak wyglądał atak na konta AWS

Agent sprawdzał w szybkim tempie, do czego dają dostęp przejęte klucze. Odpytywał kilkanaście usług, od IAM, EC2 i S3, przez Secrets Manager, RDS i Lambda, po Amazon Bedrock. Po odmowie dostępu przechodził do kolejnych usług i skupiał się na zasobach, które pozostawały otwarte.

Arctic Wolf zwraca uwagę na pułapkę dla zespołów bezpieczeństwa. Seria setek odrzuconych zapytań wygląda na nieudaną próbę, a w jej środku mogą kryć się udane operacje. W jednym przypadku sekwencja zakończyła się odczytem produkcyjnego sekretu. W innym napastnik pobierał, kopiował i usuwał obiekty w S3.

Dlaczego to kolejny sygnał ostrzegawczy

AntiFox nie jest pierwszym takim przypadkiem. Spokrewniony z nim ARTEX pojawiał się w atakach na banki w Korei Południowej, we włamaniu przez ConnectWise i w kampaniach opisanych przez Microsoft. Według BleepingComputer CrowdStrike powiązał ARTEX z kampanią szpiegowską wymierzoną w ponad 200 organizacji w 14 krajach.

Według Arctic Wolf takie platformy udostępniają techniki pentesterów osobom bez specjalistycznej wiedzy i przyspieszają ataki. AntiFox wciąż jest dostępny na GitHubie, gdzie trafiła już wersja 2.0. Narzędzia do pentestów są legalne i przydatne dla obrońców, więc samo ich zablokowanie nie rozwiąże problemu.

Co sprawdzić w firmie korzystającej z AWS

Zalecenia Arctic Wolf dotyczą wykrywania i reagowania, a nie jednej poprawki. Najważniejsze kroki dla polskich firm z kontami AWS są następujące.

• Unieważnij sesje i klucze, które mogły zostać przejęte, oraz zmień dane dostępowe zapisane w plikach konfiguracyjnych aplikacji.
• Szukaj wywołań API AWS z sieci firm hostingowych, z których dana tożsamość wcześniej nie korzystała.
• Zwróć uwagę na jeden adres IP używający wielu kluczy, użytkowników IAM lub ról w krótkim czasie.
• Przeglądaj udane operacje ukryte w seriach odmów dostępu i nie zakładaj, że taka seria była nieskuteczna.
• Na serwerach IIS monitoruj nowe pliki .aspx w katalogach aplikacji oraz polecenia uruchamiane przez proces serwera WWW.

Ograniczenia raportu

Arctic Wolf nie podał liczby zaatakowanych organizacji, ich krajów ani branż. Nie wskazał też sprawców i nie przypisał ataków konkretnej grupie. Raport nie opisuje podatności użytej na serwerach IIS.

Firmy w Polsce, które zauważą podobną aktywność, mogą zgłosić incydent do CERT Polska. Podmioty objęte ustawą o krajowym systemie cyberbezpieczeństwa mają obowiązek zgłaszania poważnych incydentów.