AntiFox: منصة اختبار اختراق بالذكاء الاصطناعي تسرق أسرار AWS

AntiFox مشروع على GitHub يصف نفسه بأنه منصة اختبار اختراق ذاتية (Agentic Pentesting) مبنية على Artex. يعمل بنظام وكلاء متعددين ينفذون المهمة كاملة، من الاستطلاع حتى الاستغلال وكتابة التقرير. وقالت Arctic Wolf إن خوادم على Alibaba Cloud تستضيف واجهات AntiFox ارتبطت بهجمات مؤكدة.

مسار الهجوم

• الدخول: في بعض الحالات بدأ الهجوم من تطبيق IIS مكشوف ومخترق، ثم زرع المهاجم Web Shell من نوع ASPX عبر عملية w3wp.exe، ولم تُعرف الثغرة المستخدمة. وفي حالات أخرى بدأ بمفتاح AWS صالح لم يُعرف مصدره.
• الاستطلاع: أوامر PowerShell تبحث عن ملفات web.config والنسخ الاحتياطية للإعدادات، وتقرأ نصوص الاتصال بقواعد البيانات.
• السحابة: استخدم المهاجم هويات IAM صالحة لفحص عشرات الخدمات، منها EC2 وS3 وLambda وSecrets Manager وKMS وRDS. وفشل أغلبها بـ AccessDenied، لكن بعضها نجح، ومنها طلب GetSecretValue ناجح لسر إنتاج.

وقالت AWS إن خدماتها لم تُخترق، وإن المهاجمين استخدموا بيانات دخول سُرقت من تطبيقات العملاء المخترقة.

ماذا تفعل؟

1. لا تضع مفاتيح AWS داخل ملفات الإعداد. استخدم IAM Roles وSecrets Manager مع أقل صلاحيات ممكنة (Least Privilege).
2. فعّل CloudTrail، وأنشئ تنبيهات على موجات AccessDenied المتتالية، وعلى أي GetSecretValue غير معتاد.
3. راقب خوادم IIS بحثاً عن ملفات ASPX جديدة، وعن عمليات تنطلق من w3wp.exe.