Penyerang memanfaatkan AntiFox, platform pengujian penetrasi berbasis agen AI, dalam operasi yang menyasar layanan web dan lingkungan Amazon Web Services atau AWS. Arctic Wolf mengaitkan aktivitas tersebut dengan infrastruktur di Alibaba Cloud yang menjalankan instalasi AntiFox secara mandiri.
Aktivitas yang diamati mencakup penyusupan layanan web, pemasangan webshell, pencarian konfigurasi, validasi kredensial, hingga pengambilan secret cloud. Temuan ini memperlihatkan bagaimana alat otomatisasi keamanan dapat digunakan untuk mempercepat rangkaian serangan ketika berada di tangan pelaku kejahatan.
Dari server IIS menuju kredensial cloud
Dalam salah satu kasus, penyerang memasang webshell ASPX pada server IIS yang dapat diakses dari internet. Dari akses tersebut, mereka menjalankan perintah sistem operasi, membaca pengaturan aplikasi dan string koneksi basis data, lalu menyalin berkas konfigurasi serta log ke direktori yang dapat diakses melalui web.
Arctic Wolf belum mengidentifikasi kerentanan spesifik yang memungkinkan eksekusi kode awal pada aplikasi IIS. Dalam aktivitas lain, serangan dimulai menggunakan kredensial AWS valid yang asal perolehannya juga belum diketahui. Karena itu, temuan tersebut tidak menunjukkan satu jalur masuk yang pasti untuk seluruh insiden.
Infrastruktur terkait AntiFox kemudian menggunakan identitas IAM dan, dalam beberapa kasus, assumed role EC2 untuk mengirim permintaan terautentikasi ke API AWS. Penggunaan identitas valid membuat pemeriksaan perilaku menjadi penting, selain sekadar mengandalkan hasil autentikasi.
Permintaan ditolak tidak berarti serangan gagal
Pada satu penyusupan, pelaku berganti-ganti identitas dan menghasilkan ratusan permintaan API dalam waktu sekitar setengah jam. Sebagian besar ditolak, tetapi keberhasilan pengambilan informasi terselip di antara penolakan tersebut. Aktivitas akhirnya mencapai pengambilan secret produksi.
Kasus terpisah menunjukkan identitas AWS yang valid digunakan untuk membaca, menyalin, dan menghapus objek S3. Dampaknya dengan demikian tidak terbatas pada pengumpulan informasi tentang akun, tetapi dapat meluas ke data yang disimpan dalam layanan cloud.
Arctic Wolf menyarankan pembela memeriksa permintaan yang berhasil di tengah lonjakan AccessDenied. Perhatian juga perlu diberikan pada satu sumber yang memakai beberapa identitas dalam waktu singkat dan aktivitas lintas layanan yang tidak lazim bagi identitas tersebut.
AntiFox berasal dari proyek ARTEX
AntiFox merupakan proyek sumber terbuka yang berawal sebagai fork ARTEX versi 0.1.1. Dokumentasinya menggambarkan sistem multiagen yang membagi perencanaan, pelaksanaan tugas, dan interaksi pengguna untuk menjalankan pekerjaan pengujian secara otomatis.
Versi 2.0 menekankan pencatatan bukti serta penyusunan laporan. Pengembang menyebut setiap temuan dapat dikaitkan dengan lalu lintas permintaan dan respons yang direkam, sehingga hasil pengujian lebih mudah diverifikasi. Dokumentasi juga menyebut dukungan laporan dalam bahasa Mandarin sederhana, Mandarin tradisional, dan Inggris.
Meski memiliki kemampuan tersebut, penerbit membatasi penggunaan yang diizinkan pada pembelajaran, riset kode, serta validasi lokal yang terisolasi. Pengujian terhadap sistem online dan penggunaan untuk pencurian data dilarang. Ketentuan tertulis itu perlu dibedakan dari kemampuan teknis alat yang dapat disalahgunakan pihak lain.
Korelasikan jejak aplikasi dengan aktivitas AWS
Untuk investigasi, Arctic Wolf menganjurkan korelasi aktivitas webshell IIS dengan akses AWS yang tidak biasa. Kredensial yang tersimpan dalam konfigurasi aplikasi dapat menjadi penghubung antara kompromi server web dan penyalahgunaan layanan cloud sesudahnya.
Respons yang direkomendasikan mencakup pencabutan sesi serta access key terkait, rotasi kredensial yang terekspos dalam berkas aplikasi, dan pemeriksaan aktivitas setiap identitas. Temuan infrastruktur cloud dalam laporan ini merupakan hubungan dengan aktivitas yang diamati, bukan bukti bahwa seluruh pengguna AntiFox atau Alibaba Cloud terlibat serangan.
Sumber: Arctic Wolf Labs – Antifox Agentic Pentesting Platform Used to Steal AWS Credentials and Move Laterally in Compromised Environments
