"Arctic Wolf" siber güvenlik araştırmacıları, saldırganların yapay zeka ajanlarına dayalı açık kaynaklı bir sızma testi platformu olan "AntiFox" aracının kendi kendine yönetilen sürümlerini çalıştırmak için "Alibaba Cloud" platformunda barındırılan bir altyapıyı kullandığını tespit etti. Bu altyapı; güvenlik açıklarından yararlanma, kötü amaçlı kod yerleştirme (Webshells), kimlik bilgisi doğrulama, sistem yapılandırmalarını keşfetme ve Amazon bulut (AWS) ortamlarından gizli bilgileri çalma gibi birden fazla kötü niyetli faaliyeti yürütmek için kullanıldı.
AntiFox platformu aslında (ARTEX 0.1.1) test aracının bir türevidir ve kullanıcıların açık hizmetleri haritalama ve güvenlik açıkları için uç noktaları tarama gibi rutin tarama görevlerini otomatikleştirmek üzere yapay zeka aracıları dağıtmasına olanak tanıyan Çince bir kullanıcı arayüzüne sahiptir. Güvenlik notları, saldırganların Amazon API'lerine yönelik kimliği doğrulanmış istekleri yürütmek için orijinal kimlik erişim yönetimi (IAM) kimliklerini ve bulut sunucusu (EC2) rollerini kullandığını belirtti.
Tespit Edilen Saldırıların Doğası
Gözlemlenen vakalardan birinde saldırganlar, internete açık bir IIS sunucusuna kötü amaçlı bir web kabuğu (ASPX) yerleştirerek işletim sistemi komutlarını yürütmelerine, uygulama ayarlarına ve veritabanı bağlantı dizelerine erişmelerine, ayrıca yapılandırma dosyalarını ve günlükleri web üzerinden erişilebilir klasörlere kopyalamalarına olanak sağladı.
Ayrı bir olayda ise saldırganlar, depolama nesnelerini (S3) okumak, kopyalamak ve silmek için geçerli bir AWS kimliği kullandılar. Uç noktaları hedef alan diğer girişimlerde saldırganlar, birden fazla kimlik arasında geçiş yaparak otuz dakika içinde yüzlerce programatik istek gönderdi. Koruma sistemleri bu girişimlerin çoğunu engellemeyi başarsa da saldırganlar bazı durumlarda hassas üretim sırlarını ele geçirmeyi başardı.
Pratikte Ne Değişiyor?
Bu gelişme, yapay zeka tabanlı sızma testi araçlarının ve açık kaynaklı çerçevelerin, yakın zamanda Güney Kore'deki bankaları hedef alan (ARTEX AI) aracı ve (Vapor Panda) gibi gruplarla bağlantılı siber casusluk kampanyalarında görülenlere benzer gelişmiş otomatik saldırılarda artan istismarını vurguluyor.
AntiFox geliştiricileri, aracın canlı sistemlere karşı, gerçek dünyadaki sızma testlerinde veya yasa dışı faaliyetlerde kullanılmasını açıkça yasaklasa da platform, bulut barındırma platformlarında kötüye kullanımı önleyecek katı teknik kontroller içermiyor.
Koruma ve Savunma Önerileri
Araştırmacılar, sistem yöneticileri ve savunma ekipleri için aşağıdakileri içeren teknik kılavuzlar sundu:
- IIS sunucularındaki kötü amaçlı web dosyası etkinliklerinin AWS hizmetlerine yönelik olağandışı erişimlerle ilişkilendirilmesi ve izlenmesi.
- Güvenlik reddi dalgalarıyla eş zamanlı olarak gerçekleşen başarılı API isteklerinin ve günlüklerin incelenmesi.
- Etkilenen oturumların ve anahtarların AWS bulutunda derhal iptal edilmesi ve güvenliği ihlal edilmiş kimlik bilgilerinin yenilenmesi.