Исследователи Arctic Wolf зафиксировали атаки, в которых AI-агенты AntiFox помогали злоумышленникам искать уязвимости веб-сервисов, устанавливать веб-шеллы и добывать секреты AWS. В одном из эпизодов атакующий за 30 минут выполнил сотни запросов к API Amazon Web Services, перебирая действующие IAM-идентичности и роли EC2; часть попыток была заблокирована, но доступ к production-секретам всё же удалось получить. Для российских команд это ещё один повод проверить, не лежат ли ключи облака в конфигурациях приложений и не выданы ли сервисным ролям лишние права.
Как сообщает BleepingComputer, инфраструктуру AntiFox разворачивали на Alibaba Cloud. Это open-source платформа для агентного пентеста с интерфейсом на китайском языке, созданная как форк ARTEX 0.1.1. Она позволяет автоматизировать привычную для тестировщика цепочку: инвентаризацию открытых сервисов, проверку конечных точек на уязвимости и подготовку отчётов. В руках атакующих тот же набор задач превращается в ускоритель компрометации: агент может быстро переходить от найденного веб-сервера к конфигурационному файлу, а оттуда — к облачной учётной записи.
В одном из расследованных инцидентов злоумышленник загрузил ASPX-веб-шелл на доступный из интернета IIS-сервер. Через него выполнялись команды ОС, извлекались настройки приложения и строки подключения к базе данных, а конфигурационные и журнальные файлы копировались в каталог, доступный по сети. Затем атакующий использовал найденные действующие AWS-учётные данные и роли экземпляров EC2 для запросов к облачным API.
Отдельный эпизод выглядел ещё прямолинейнее: с валидной AWS-идентичностью атакующие читали, копировали и удаляли объекты в S3. Это важная деталь: речь не о взломе самой платформы AWS и не о «магическом» обходе её защит. По заявлению Amazon, сервисы AWS работали штатно, а злоумышленники входили в аккаунты через учётные данные, похищенные из уже скомпрометированных приложений. AI здесь не отменяет базовую модель угроз — он сокращает время между первичным доступом и полезным результатом.
Платформа AntiFox особенно неприятна не каким-то одним экзотическим приёмом, а связкой вполне знакомых операций. Сначала находится внешний веб-сервис с ошибкой конфигурации или уязвимостью, затем закрепление через веб-шелл, после чего извлекаются настройки приложения, токены и ключи. Если в конфиге лежит долгоживущий access key либо роль EC2 позволяет больше необходимого, атакующий начинает исследовать уже облачную среду. Раньше на такую последовательность требовалось больше ручной работы; агентный инструмент помогает быстрее воспроизводить её на множестве целей.
У AntiFox есть и очевидный предшественник. ARTEX AI, ещё одна китайская агентная платформа для пентеста, ранее фигурировала в атаках на южнокорейские банки и в кампании против более чем 200 организаций в 14 странах, которую CrowdStrike связала с группировкой Vapor Panda. После появления в атаках ARTEX стала закрытым продуктом. AntiFox пока доступен на GitHub и обновлён до версии 2.0; в этой версии улучшены документирование и оформление результатов. Авторы запрещают применять инструмент против реальных систем, в пентестах и учениях, а также в незаконных или разрушительных сценариях, но технических ограничений для соблюдения этих запретов не описывают.
Что проверить в приложениях и AWS
Для разработчиков главный риск начинается задолго до запроса к AWS API. Конфигурация, попавшая в веб-каталог, логи с токенами, незащищённая админ-панель или уязвимый IIS-сервер могут дать атакующему ровно тот материал, который нужен для перехода в облако. Секреты не должны храниться в исходниках и файловых конфигурациях приложения, особенно если эти файлы могут быть прочитаны процессом веб-сервера. Долгоживущие ключи доступа стоит заменять краткоживущими механизмами, а права IAM — регулярно сужать по принципу минимально необходимого доступа.
Командам эксплуатации полезно сопоставлять два типа сигналов: активность веб-шеллов на IIS и аномальные запросы к AWS после неё. Arctic Wolf рекомендует отдельно разбирать успешные API-вызовы, которые идут внутри серии отказов: это может означать, что атакующий перебирает идентичности, роли или разрешения и уже нашёл рабочую комбинацию. При подозрении на инцидент нужно отозвать сессии и ключи, затем ротировать все данные доступа, которые могли оказаться в файлах приложения. Amazon также советует требовать IMDSv2 на EC2, не оставлять долгоживущие ключи в конфигурациях и включать GuardDuty.
Для IT-директора и владельца продукта вывод менее эффектный, но полезный: автоматизация атаки повышает ценность обычной гигиены. Инвентаризация публичных сервисов, контроль веб-шеллов, нормальная работа с секретами и аудит прав IAM снижают риск независимо от того, использует противник AI-агента или набор скриптов. А вот отсутствие этих практик даёт AI-агентам AntiFox возможность превратить одну веб-уязвимость в доступ к данным и объектам облачного аккаунта.
Следующий вопрос для отрасли — насколько быстро агентные средства станут стандартным инструментом не только для красных команд, но и для массовых атак. Технический барьер снижается: злоумышленнику всё реже нужно вручную связывать разведку, эксплуатацию и проверку облачных прав. Защитникам придётся реагировать симметрично — автоматизировать поиск утёкших секретов, корреляцию событий веб-сервера и облака, а также отзыв скомпрометированных доступов. Подробности исследования и исходный контекст собраны в материале .