Des chercheurs en cybersécurité de la société Arctic Wolf ont observé l'utilisation par des attaquants d'une infrastructure hébergée sur Alibaba Cloud pour exécuter des versions auto-hébergées de l'outil AntiFox, une plateforme de test d'intrusion open source s'appuyant sur des agents d'intelligence artificielle. Cette infrastructure a été utilisée pour mener de multiples activités malveillantes, notamment l'exploitation de vulnérabilités, l'implantation de codes malveillants (Webshells), la vérification d'identifiants, la découverte de configurations de systèmes et le vol de secrets dans les environnements cloud d'Amazon (AWS).
À l'origine, la plateforme AntiFox est un dérivé de l'outil de test ARTEX 0.1.1 et dispose d'une interface utilisateur en langue chinoise permettant aux utilisateurs de déployer des agents d'intelligence artificielle pour automatiser les tâches de balayage habituelles, telles que la cartographie des services exposés et l'analyse des points de terminaison à la recherche de vulnérabilités. Les observations de sécurité ont indiqué que les attaquants ont utilisé des identités de rôles IAM et des rôles d'instances EC2 d'origine pour exécuter des requêtes authentifiées vers les interfaces de programmation d'applications d'Amazon.
Nature des attaques détectées
Dans l'un des cas observés, les attaquants ont déployé un code web malveillant (ASPX) sur un serveur IIS exposé à Internet, ce qui leur a permis d'exécuter des commandes de système d'exploitation, d'accéder aux configurations d'applications et aux chaînes de connexion de bases de données, ainsi que de copier des fichiers de configuration et des journaux dans des dossiers accessibles via le web.
Dans un autre incident distinct, les attaquants ont utilisé une identité AWS valide pour lire, copier et supprimer des objets de stockage S3. Dans d'autres tentatives de ciblage de points de terminaison, les attaquants ont navigué à travers de multiples identités et envoyé des centaines de requêtes programmatiques en l'espace de trente minutes. Bien que les systèmes de protection aient réussi à repousser la plupart de ces tentatives, les attaquants ont réussi dans certains cas à extraire des secrets de production sensibles.
Qu'est-ce qui change concrètement ?
Cette évolution met en lumière l'exploitation croissante d'outils de test d'intrusion basés sur l'intelligence artificielle et de cadres open source dans des attaques automatisées sophistiquées, similaires à ce qui a été récemment observé avec l'outil ARTEX AI qui a ciblé des banques en Corée du Sud et des campagnes de cyberespionnage associées à des groupes tels que Vapor Panda.
Bien que les développeurs d'AntiFox interdisent explicitement l'utilisation de l'outil contre des systèmes en direct, dans des tests d'intrusion réels ou pour des activités illégales, la plateforme ne comprend pas de contrôles techniques stricts empêchant son utilisation abusive sur les plates-formes d'hébergement cloud.
Recommandations de protection et de défense
Les chercheurs ont fourni des directives techniques aux administrateurs systeme et aux équipes de défense, comprenant :
- Associer et suivre l'activité des fichiers web malveillants sur les serveurs IIS avec les accès inhabituels aux services AWS.
- Examiner les journaux et les requêtes réussies d'API qui coïncident avec des vagues de refus de sécurité.
- Révoquer immédiatement les sessions de travail et les clés compromises dans le cloud AWS et faire pivoter les identifiants exposés.