Хакеры используют Alibaba Cloud для атак с помощью платформы AntiFox

Злоумышленники используют облачную платформу Alibaba Cloud для размещения собственных экземпляров AntiFox — платформы автоматизированного тестирования на проникновение с открытым исходным кодом. С её помощью они атакуют веб-сервисы и облачные среды Amazon Web Services (AWS).

Размещённая на Alibaba Cloud инфраструктура, связанная с AntiFox, использовалась для различных вредоносных действий: эксплуатации уязвимостей, установки веб-шеллов, проверки учётных данных, сбора сведений о конфигурации систем и извлечения секретов AWS.

Изначально созданный как форк ARTEX 0.1.1, AntiFox имеет интерфейс на китайском языке и позволяет разворачивать ИИ-агентов, автоматизируя типовые задачи пентестинга. Среди них — обнаружение доступных извне сервисов и проверка целевых конечных точек на наличие уязвимостей.

Специалисты по информационной безопасности из Arctic Wolf обнаружили вредоносную инфраструктуру, связанную с AntiFox и размещённую в Alibaba Cloud. Она использовала действительные учётные данные AWS, в том числе IAM-пользователей, а в некоторых случаях — временные полномочия, полученные через роли EC2, для выполнения аутентифицированных запросов к API Amazon Web Services.

«В ходе нескольких недавних расследований мы обнаружили, что системы Alibaba Cloud, на которых размещались интерфейсы AntiFox, были связаны с подтверждёнными вредоносными действиями против общедоступных веб-сервисов и связанных с ними сред AWS», — сообщили в Arctic Wolf.

В одном из описанных в отчёте случаев злоумышленники развернули ASPX-веб-шелл на доступном из интернета IIS-сервере. С его помощью они выполняли команды операционной системы, получали доступ к настройкам приложения и строкам подключения к базам данных, а также копировали конфигурационные файлы и журналы в каталог, доступный через веб.

Кроме того, атакующие использовали действительные учётные данные IAM и роли EC2 для проверки конечных точек Amazon Web Services (AWS). По данным исследователей, в одном из инцидентов злоумышленники последовательно использовали несколько учётных записей и выполнили сотни API-запросов примерно за 30 минут.

Хотя большинство этих попыток удалось заблокировать, в отдельных случаях атаки оказались успешными: злоумышленники получили доступ к секретным данным, используемым в производственной среде.

В другом инциденте атакующие воспользовались действительной учётной записью AWS, чтобы просматривать, копировать и удалять объекты в хранилище Amazon S3.

В своём отчёте Arctic Wolf приводит рекомендации по поиску следов подобных атак и защите инфраструктуры. В частности, специалисты советуют сопоставлять активность веб-шеллов на IIS-серверах с необычными обращениями к AWS, а также проверять успешные API-вызовы, которые происходят на фоне серии отклонённых запросов.

Кроме того, исследователи рекомендуют отзывать затронутые сессии AWS и ключи доступа, а также менять учётные данные, которые могли оказаться раскрытыми в файлах приложений.

Обнаружение вредоносной активности с использованием AntiFox произошло на фоне недавних атак с применением ARTEX AI — другого фреймворка для автоматизированного пентестинга на базе ИИ, разработанного в Китае. Впоследствии проект стал закрытым после того, как его использовали в атаках на южнокорейские банки.

Компания CrowdStrike также связала ARTEX с кибершпионской кампанией, в ходе которой китайская хакерская группировка Vapor Panda атаковала более 200 организаций в 14 странах.

На данный момент AntiFox по-прежнему доступен на GitHub. Проект обновлён до версии 2.0, в которой улучшены механизмы документирования и представления результатов работы инструмента.

Разработчики запрещают использовать AntiFox против действующих систем, в реальных тестах на проникновение и учениях по информационной безопасности, а также для разрушительных или незаконных действий. При этом никаких технических механизмов, которые обеспечивали бы соблюдение этих ограничений, авторы не описывают.

Представитель Amazon направил изданию BleepingComputer следующий комментарий:

Сервисы AWS не подвергались компрометации и работали в штатном режиме. В описанном исследовании речь идёт о злоумышленниках, которые использовали учётные данные, похищенные из скомпрометированных приложений клиентов, для доступа к их аккаунтам AWS.

Как и прежде, мы рекомендуем всем клиентам соблюдать лучшие практики в области безопасности, управления идентификацией и соответствия требованиям. В частности, необходимо предоставлять учётным записям только минимально необходимые привилегии, требовать использования IMDSv2 на экземплярах EC2, не хранить долгосрочные ключи доступа в конфигурационных файлах приложений и активировать Amazon GuardDuty.

Клиентам, которые подозревают несанкционированную активность в своих аккаунтах, следует воспользоваться рекомендациями по устранению последствий возможной компрометации учётных данных или обратиться в службу поддержки AWS.

— Представитель Amazon

Источник: Bleeping Computer

AI News

Статьи и новости о нейросетях и искусственном интеллекте, просто и понятно о сложных технологиях. Освещает современные тенденции, объясняет, как работают ИИ-системы, и показывает, каким образом нейросети меняют различные сферы жизни. Регулярно собирает подборки и топы полезных нейросетей, тщательно отбирая актуальные инструменты и сервисы, которые могут существенно упростить рабочие и повседневные задачи. В своих подборках делится описаниями возможностей каждой нейросети, а также рекомендациями по их применению, чтобы помочь читателям быстро разобраться в новых технологиях и использовать их с максимальной пользой.

Социальные сети автора: