سوءاستفاده از ابزار تست نفوذ هوش مصنوعی AntiFox برای سرقت اعتبارنامه‌های AWS
AI Pentest Tool AntiFox Abused To Steal AWS Credentials
محققان Arctic Wolf Labs گزارش داده‌اند که مهاجمان از پلتفرم تست نفوذ متن‌باز و عامل‌محور AntiFox برای نفوذ به سرورهای IIS و محیط‌های ابری AWS استفاده می‌کنند. این ابزار با خودکارسازی مراحل حمله، سرعت و دقت عملیات مخرب را افزایش می‌دهد.
جزئیات فنی حملات به IIS
در حملات علیه سرورهای IIS، مهاجمان ابتدا از طریق یک آسیب‌پذیری ناشناخته به یک برنامه وب عمومی نفوذ کرده و با استفاده از فرآیند w3wp.exe، یک وب‌شل ASPX ایجاد می‌کنند. پس از آن، با اجرای دستوراتی نظیر icacls و PowerShell، اطلاعات سیستم را جمع‌آوری کرده و فایل‌های پیکربندی مانند web.config را برای یافتن جزئیات پایگاه داده و تنظیمات برنامه بررسی می‌کنند.
مهاجمان پس از استخراج اعتبارنامه‌ها، تلاش می‌کنند به پایگاه داده‌های تولید داخلی متصل شوند و در نهایت فایل‌های حساس را به پوشه‌های قابل دسترس از طریق وب منتقل می‌کنند.
عملیات مخرب در محیط AWS
در حملات AWS، مهاجمان با استفاده از اعتبارنامه‌های معتبر IAM یا نقش‌های EC2، به سرعت محیط‌های ابری را شناسایی می‌کنند. آن‌ها با اجرای صدها درخواست در بازه‌های زمانی کوتاه، سرویس‌های مختلفی از جمله IAM، S3، Lambda، Secrets Manager و RDS را هدف قرار می‌دهند.
هدف اصلی این حملات، استخراج اسرار تولید (Secrets) و دسترسی به داده‌های ذخیره‌شده در S3 است. حتی در مواردی که بسیاری از درخواست‌ها با خطای AccessDenied مواجه می‌شوند، مهاجمان به تلاش خود برای یافتن نقاط دسترسی باز ادامه می‌دهند.
نکته‌های کلیدی
- استفاده از پلتفرم AntiFox برای خودکارسازی حملات سایبری.
- نفوذ به سرورهای IIS از طریق وب‌شل‌های ASPX و سرقت اطلاعات پیکربندی.
- شناسایی سریع سرویس‌های ابری AWS و تلاش برای سرقت داده‌ها و اسرار.
- تأکید بر خطر استفاده از ابزارهای عامل‌محور در افزایش سرعت حملات.
توصیه‌های منبع
جمله‌های خود خبر، بدون تغییر: Security Affairs
“Organizations should enable AWS CloudTrail logging and monitor access to sensitive S3 storage.”
“They should also use S3 versioning and Object Lock to protect important data from deletion.”
“Companies should identify all internet-facing applications and prioritize patching and protecting file upload, conversion and document-processing services.”
“If an IIS process launches an unexpected command shell, administrators should isolate the server, preserve logs and forensic evidence, remove malicious files and change all exposed credentials.”
“They should also revoke compromised AWS sessions and access keys, enforce IMDSv2 and apply least-privilege permissions to limit what applications can access.”