عوامل هوش مصنوعی AntiFox توسط هکرها ربوده شدند تا اعتبارنامه AWS را سرقت کنند.

مهاجمان از ابزار تست نفوذ مبتنی بر هوش مصنوعی AntiFox برای جستجوی اعتبارنامه ها و به خطر انداختن محیط های AWS سوء استفاده می کنند.

کمپین‌ها از نفوذهای وب سرور و اعتبارنامه‌های ابری سرقت شده برای نقشه‌برداری زیرساخت‌ها و دسترسی به منابع حساس استفاده کردند.

محققان از سازمان‌ها می‌خواهند که برای پوسته‌های وب نظارت کنند، اسرار افشا شده را بچرخانند و کنترل‌های دسترسی با حداقل امتیاز را اعمال کنند. مجرمان سایبری از یک پلت فرم منبع باز مبتنی بر هوش مصنوعی به نام AntiFox برای سرقت اطلاعات ورود به سیستم و دسترسی به محیط های خدمات وب آمازون (AWS) افراد استفاده می کنند.

این به گفته محققان امنیتی Arctic Wolf، که اخیرا یافته‌های خود را در GitHub افشا کردند و توضیح دادند که چگونه عوامل تهدید ناشناس نمونه‌های خود را از این ابزار در زیرساخت Alibaba Cloud میزبانی می‌کنند و از قابلیت‌های خودکار آن برای تجزیه و تحلیل سیستم‌های در معرض خطر، جستجوی گذرواژه‌ها و دسترسی به منابع ابری استفاده می‌کنند.

آنتی فاکس چیست؟

AntiFox یک پلت فرم تست نفوذ منبع باز مبتنی بر هوش مصنوعی است که توسط یک توسعه دهنده چینی ساخته شده است. تست نفوذ فرآیندی است که متخصصان امنیت سایبری معمولا برای شناسایی نقاط ضعف زیرساخت فناوری اطلاعات خود از آن استفاده می‌کنند، و در حالی که ابزارهایی مانند AntiFox از نظر طراحی مخرب نیستند، اغلب در حملات مختلف مورد سوء استفاده قرار می‌گیرند. این همیشه با ابزارهایی مانند Cobalt Strike یا ConnectWise ScreenConnect نیز اتفاق می افتد.

Arctic Wolf گفت که در برخی از حملاتی که مشاهده کردند، عاملان تهدید ابتدا سرورهای وب مایکروسافت IIS را که با اینترنت روبرو بودند به خطر انداختند، اگرچه نمی‌توانستند دقیقا چگونگی آن را تعیین کنند.

آنها سپس پوسته های وب را برای اجرای دستورات سرور مخرب از راه دور نصب کردند و از آنجا، فایل های برنامه و تنظیمات پیکربندی را مرور می کردند و به دنبال اعتبار ورود به پایگاه داده و سایر اسرار ارزشمند بودند. محققان همچنین شاهد تلاش هایی برای استفاده از این اعتبارنامه ها برای اتصال به پایگاه های داده تولید داخلی بودند.

در موارد دیگر، مهاجمان از اعتبارنامه های معتبر AWS که در جاهای دیگر به دست آمده اند برای جستجو در محیط های ابری و کشف حساب ها، مجوزها، پایگاه های داده، سرورهای ذخیره سازی و سایر منابع مهم استفاده می کنند.

آمازون در اظهار نظر در مورد این گزارش به BleepingComputer گفت که خدماتش طبق برنامه کار می کند و از مشتریان خواست که رمزهای عبور خود را مخفی نگه دارند: "سرویس های AWS به خطر نیفتادند و طبق طراحی عمل کردند. این تحقیق عوامل تهدید را با استفاده از اعتبارنامه های گرفته شده از برنامه های در معرض خطر مشتریان برای دسترسی به حساب های AWS خود توصیف می کند.

مثل همیشه، به همه مشتریان توصیه می‌کنیم بهترین شیوه‌های امنیتی، هویتی و انطباق را دنبال کنند، از جمله اعطای مجوزهای کمترین امتیاز، نیاز به IMDSv2 در نمونه‌های EC2، دور نگه داشتن کلیدهای دسترسی طولانی‌مدت از پیکربندی‌های برنامه، و روشن کردن Amazon GuardDuty. مشتریانی که مشکوک به فعالیت غیرمجاز در حساب‌های خود هستند، باید دستورالعمل‌های مربوط به اصلاح اعتبارنامه‌های احتمالی در معرض خطر را دنبال کنند یا با پشتیبانی AWS تماس بگیرند."

AntiFox به عنوان یک انشعاب از ARTEX 0.1.1 ساخته شده است، یکی دیگر از چارچوب‌های تست نفوذ مبتنی بر هوش مصنوعی توسعه‌یافته چینی که اخیرا سرفصل‌ها را پر کرده است. در اوایل این هفته، محققان امنیتی Censys گفتند که 1465 هاست را شناسایی کرده‌اند که از کنسول‌های ARTEX در معرض نمایش استفاده می‌کنند، که تقریبا 10 درصد از آنها حداقل یک ابزار دیگر را که معمولا در حملات سایبری استفاده می‌شود، اجرا می‌کنند.

آنها همچنین 32 دایرکتوری در دسترس عموم را در میزبان های ARTEX پیدا کردند که برخی از آنها باینری های اکسپلویت، ابزارهای پس از بهره برداری و سایر فایل های حساس را در معرض دید قرار دادند.

روح ARTEX

ARTEX در اواخر ژوئیه 2026 توسط توسعه‌دهنده‌ای به نام Autumn-27 منتشر شد تا به‌عنوان یک ارتقاء مبتنی بر هوش مصنوعی به ScopeSentry، ابزاری که Censys به‌عنوان «پلت‌فرم کشف دارایی و اسکن آسیب‌پذیری چینی پرکاربرد توصیف می‌شود» عرضه شد. محبوبیت آن به شدت افزایش یافت و در اوایل اکتبر، گزارش هایی از ARTEX منتشر شد که در حملات سایبری مورد استفاده قرار می گرفت. به زودی پس از اینکه توسعه دهنده از این حملات فاصله گرفت، ابزار را به منبع بسته تبدیل کرد و هیچ نسخه بعدی را منتشر نکرد.

از آن زمان، بسیاری از محققان مشاهده کردند که از آن در حملات مختلف، از جمله ضربه به موسسات مالی کره جنوبی استفاده می شود. مایکروسافت شاهد استفاده از گروه چینی Storm-0940 نیز بود.

Arctic Wolf اکنون به سازمان‌ها توصیه می‌کند که سرورهای وب خود را برای فعالیت‌های مشکوک نظارت کنند، مانند ظاهر شدن فایل‌های تصادفی در شبکه‌ها یا اجرای دستورات سیستم عامل بدون تأیید. آنها همچنین باید فعالیت غیرمعمول AWS، از جمله درخواست های سریع در چندین سرویس و تلاش برای دسترسی به اعتبارنامه های ذخیره شده از زیرساخت های ناآشنا را بررسی کنند.

پوسته‌های وب ناآشنا باید در محل خاتمه داده شوند، سیستم‌های در معرض خطر بررسی شوند، و همه رمزهای عبور افشا شده، کلیدهای API و اعتبارنامه‌های ابری بدون تأخیر چرخانده شوند. محققان همچنین توصیه می‌کنند مجوزهای برنامه را به منابع مورد نیاز برای عملیات عادی محدود کرده و ثبت جزئیات را برای کمک به شناسایی دسترسی‌های مشکوک و تغییرات غیرمجاز در داده‌های ذخیره‌شده فعال کنند.