Исследователи в области кибербезопасности раскрыли подробности кампании, в ходе которой новая платформа для тестирования на проникновение под названием AntiFox использовалась для кражи учетных данных Amazon Web Services (AWS) и бокового перемещения в скомпрометированные среды. «В нескольких недавно зафиксированных вторжениях системы Alibaba Cloud, на которых размещались интерфейсы AntiFox, были связаны с подтвержденными вредоносными действиями против внешних веб-сервисов и связанных с ними сред AWS», — говорится в отчете Arctic Wolf Labs, опубликованном The Hacker News.
Активность наблюдалась при объединении веб-эксплуатации и развертывания веб-оболочек для обнаружения конфигураций, проверки учетных данных, перечисления облачных сервисов, доступа к секретам и операций хранения. AntiFox, доступная для загрузки с GitHub, описывается как платформа для автономного тестирования на проникновение на базе искусственного интеллекта (ИИ). На момент написания проекта было форкнуто 251 раз и добавлено в избранное 474 раза.
На своей странице README разработчик проекта заявляет: «При наличии авторизованной цели система с несколькими агентами (планировщик / исполнитель / основной агент) выполняет полное взаимодействие через двойной граф (глобальный граф активов + граф исследования для каждой задачи) — разведка → обнаружение поверхности атаки → эксплуатация → захват данных → доставка отчета — полностью наблюдаемо, интерактивно и доставляемо». «В отличие от большинства автоматизированных инструментов пентеста, которые «отлично справляются с обнаружением, но останавливаются на нем», AntiFox уделяет основное внимание доставке — превращая то, что находит ИИ, в отчет, который инженер может понять, воспроизвести, подкрепить доказательствами и передать непосредственно клиенту».
По данным Arctic Wolf, часть первоначальной активности связана с скомпрометированным внешним приложением Internet Information Services (IIS). Затем доступ используется для создания веб-оболочки ASPX с помощью «w3wp.exe», рабочего процесса IIS, и выполнения команд операционной системы для выполнения следующих действий: «На скомпрометированном сервере IIS команды, выполняемые через w3wp.exe, определяли контекст выполнения с помощью whoami, перечисляли каталог приложения, проверяли разрешения с помощью icacls и тестировали возможность записи файлов в корневую папку веб-сервера», — говорится в сообщении Arctic Wolf. «Создание веб-оболочки ASPX через w3wp.exe с последующим выполнением команд через тот же рабочий процесс IIS предполагает компрометацию через затронутое веб-приложение».
Точная уязвимость, использованная для достижения выполнения кода на сервере IIS, неизвестна. В других атаках, как сообщается, злоумышленник начал с действительных учетных данных AWS, полученных неизвестными на данный момент способами. В частности, это включало злоупотребление действительными идентификаторами IAM для проверки учетных данных и перечисления десятков сервисов, включая IAM, EC2, S3, Lambda, Secrets Manager, KMS, RDS, ECS, EKS, Redshift, Athena, Glue, Systems Manager, API Gateway, CloudWatch, CloudFormation, DynamoDB и Amazon Bedrock.
Хотя большинство этих аутентифицированных межсервисных запросов API заканчивались ошибкой «AccessDenied», некоторые операции по обнаружению и доступу к секретам были успешными, согласно данным компании по кибербезопасности. По крайней мере, в некоторых случаях активность наблюдалась за пределами перечисления Secrets Manager и привела к успешному запросу GetSecretValue для производственного секрета. В других случаях действительный идентификатор AWS использовался для обнаружения S3 и операций с объектами через API-вызовы.
«Агентные фреймворки, подобные этим, делают методы тестирования на проникновение более доступными для злоумышленников, одновременно увеличивая скорость и последовательность, с которой эти методы могут применяться в реальных атаках», — заявили в Arctic Wolf. Это заявление прозвучало на фоне того, что злоумышленники все чаще используют инструменты для тестирования на проникновение на базе ИИ, такие как ARTEX, для проведения широкомасштабных атак по всему миру, позволяя им автоматизировать различные этапы вторжения с минимальным вмешательством человека. Интеграция ИИ позволила злоумышленникам, как крупным, так и мелким, адаптировать устоявшиеся методы и применять их со скоростью машины, позволяя перейти от поиска секретов на GitHub к извлечению данных из Azure Key Vault за пять минут.
Ранее на этой неделе VECERT раскрыла подробности кампании под кодовым названием Operation Ghost-Campus, организованной китайским злоумышленником, который использует ИИ-агентов для поддержания постоянного бесплатного доступа к большим языковым моделям (LLM) и, в конечном итоге, для выполнения автоматизированного академического мошенничества и кражи данных более 5000 студентов, обучающихся в кампусе Фэнсянь. «Агент индустриализирует создание учетных записей на поисковой системе fofa.info, сканирует глобальное киберпространство на предмет неправильно сконфигурированных серверов, извлекает API-ключи для OpenAI и DeepSeek, автоматически проверяет их финансовый баланс и вводит их в среду разработки злоумышленника», — говорится в сообщении VECERT. «Эта украденная вычислительная мощность питает интерактивный терминал GoTTY («Pi — AI Coding Assistant») и, как следствие, предоставляет информацию скриптам, которые поддерживают ботов для академического мошенничества («heartbeat» bots) и экстракторы финансовой информации и персональных данных (PII), принадлежащих тысячам студентов кампуса Фэнсянь».
По данным Censys, по состоянию на 4 ноября 2026 года насчитывалось 1465 хостов с открытой консолью ARTEX, большинство из которых находились в США, Гонконге, Китае, Японии, Сингапуре и Южной Корее. Однако стоит отметить, что не каждый экземпляр обязательно носит вредоносный характер.
В отдельном отчете Check Point Research сообщила, что выявила 2557 систем, на которых размещался ARTEX, включая 10 неправильно сконфигурированных экземпляров, раскрывающих свои полные базы данных. «Во многих наблюдаемых случаях ARTEX требовал удивительно мало взаимодействия от своих операторов после постановки задачи», — заявили в Check Point. «Вместо того чтобы постоянно направлять атаки шаг за шагом, операторы часто ставили цель и позволяли флоту агентов работать над ее достижением. Человеческое взаимодействие в основном ограничивалось проверкой прогресса, вопросами о том, был ли скомпрометирован целевой объект, или иногда корректировкой приоритетов».
Подавляющее большинство атак направлено на кражу криптовалюты, кражу сертификатов подписи кода Apple, компрометацию игровых аккаунтов и проведение атак типа «отказ в обслуживании» (DoS) против сайтов азартных игр. Было обнаружено, что активность использует уязвимости, связанные со слабыми или жестко закодированными паролями, отсутствием аутентификации, небезопасными прямыми ссылками на объекты и удаленным выполнением кода. В кампании, нацеленной на сертификаты подписи кода Apple, агенты ARTEX искали на скомпрометированных системах базы данных сертификатов, после чего проверяли украденные сертификаты, проверяя пароли, закрытые ключи, статус отзыва Apple, сроки действия и связанные профили подготовки. В конечном итоге, по оценкам, было собрано более 300 сертификатов и их паролей, из которых три сертификата прошли полную проверку и могли быть использованы для подписи произвольных приложений для iOS.
«Самое большое изменение, привнесенное агентным хакингом в ландшафт киберугроз, — это масштаб и скорость», — предупредили в Check Point, поскольку киберпреступник с ограниченными техническими навыками может поручить ИИ-агентам параллельно исследовать ряд целей и эксплуатировать их с использованием известных и неизвестных уязвимостей с меньшими ручными усилиями. «Его актуальность для нас заключается в масштабе, скорости и настойчивости», — говорится в предупреждении CERT-EU. «ARTEX может проверять большое количество низкосложных неправильных конфигураций, включая те, которые заметил бы человек-тестировщик, но у него не было бы времени проверить, и он может проходить длинные цепочки атак без усталости, которая ограничивает ручное тестирование». «То же самое касается и сложного создания полезной нагрузки. Пути эксплуатации, требующие тщательно настроенных полезных нагрузок, часто требуют больше усилий, чем оправдывает серьезность находки, поэтому ручная оценка может оставить их непроверенными».
Инструменты, такие как AntiFox и ARTEX, являются частью более широкого набора из примерно 45 фреймворков для агентных атак с открытым исходным кодом, которые подключаются к LLM и могут автономно действовать на основе выходных данных. Они попадают в пять широких категорий: «Каждый фреймворк имеет общедоступный исходный код и подключает модель к циклу, который запускает инструменты и действует на их выходные данные», — говорится в сообщении GitGuardian. «Инструменты для агентного ИИ-пентестинга предоставляют своему агенту оболочку и доступ к сети, чтобы модель могла собирать конвейер во время выполнения. Поиск на GitHub, загрузка сканера и найденный ключ, переданный следующему вызову, — все это находится на расстоянии одного запроса, хотя ничего из этого не поставляется в репозитории».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
